信息系統(tǒng)安全等級(jí)保護(hù)測(cè)評(píng)準(zhǔn)則

信息系統(tǒng)安全等級(jí)保護(hù)測(cè)評(píng)準(zhǔn)則目錄TOC\o"1-5"\h\z! 范圍 1規(guī)范性引用文件 1術(shù)語(yǔ)和定義 1總則 2測(cè)評(píng)原則 2測(cè)評(píng)內(nèi)容 2基本內(nèi)容 2工作單元 3測(cè)評(píng)強(qiáng)度 4結(jié)果重用 4使用方法 4第一級(jí)安全控制測(cè)評(píng) 5安全技術(shù)測(cè)評(píng) 5物理安全 5網(wǎng)絡(luò)安全 7主機(jī)系統(tǒng)安全 9應(yīng)用安全 11數(shù)據(jù)安全 13安全管理測(cè)評(píng) 15安全管理機(jī)構(gòu) 15安全管理制度 17人員安全管理 18系統(tǒng)建設(shè)管理 19系統(tǒng)運(yùn)維管理 23第二級(jí)安全控制測(cè)評(píng) 27安全技術(shù)測(cè)評(píng) 27物理安全 27網(wǎng)絡(luò)安全 33主機(jī)系統(tǒng)安全 38應(yīng)用安全 42數(shù)據(jù)安全 48安全管理測(cè)評(píng) 50安全管理機(jī)構(gòu) 50安全管理制度 52人員安全管理 54系統(tǒng)建設(shè)管理 56系統(tǒng)運(yùn)維管理 61第三級(jí)安全控制測(cè)評(píng) 69安全技術(shù)測(cè)評(píng) 69物理安全 69網(wǎng)絡(luò)安全 76主機(jī)系統(tǒng)安全 82應(yīng)用安全 90數(shù)據(jù)安全 97安全管理測(cè)評(píng) 99安全管理機(jī)構(gòu) 99安全管理制度 104人員安全管理 106系統(tǒng)建設(shè)管理 109系統(tǒng)運(yùn)維管理 115第四級(jí)安全控制測(cè)評(píng) 126安全技術(shù)測(cè)評(píng) 126物理安全 126網(wǎng)絡(luò)安全 134主機(jī)系統(tǒng)安全 140應(yīng)用安全 149數(shù)據(jù)安全 157安全管理測(cè)評(píng) 160安全管理機(jī)構(gòu) 160安全管理制度 164人員安全管理 166系統(tǒng)建設(shè)管理 169系統(tǒng)運(yùn)維管理 176第五級(jí)安全控制測(cè)評(píng) 188系統(tǒng)整體測(cè)評(píng) 188安全控制間安全測(cè)評(píng) 188層面間安全測(cè)評(píng) 189區(qū)域間安全測(cè)評(píng) 189系統(tǒng)結(jié)構(gòu)安全測(cè)評(píng) 190附錄A（資料性附錄）測(cè)評(píng)強(qiáng)度 191A.1測(cè)評(píng)方式的測(cè)評(píng)強(qiáng)度描述 191A.2信息系統(tǒng)測(cè)評(píng)強(qiáng)度 191附錄B（資料性附錄）關(guān)于系統(tǒng)整體測(cè)評(píng)的進(jìn)ー步說(shuō)明 197B.1區(qū)域和層面 197B.1.1區(qū)域 197B.1.2）云 198信息系統(tǒng)測(cè)評(píng)的組成說(shuō)明 200系統(tǒng)整體測(cè)評(píng)舉例說(shuō)明 201被測(cè)系統(tǒng)和環(huán)境概述 201安全控制間安全測(cè)評(píng)舉例 202層面間安全測(cè)評(píng)舉例 202區(qū)域間安全測(cè)評(píng)舉例 203系統(tǒng)結(jié)構(gòu)安全測(cè)評(píng)舉例 203信息系統(tǒng)安全等級(jí)保護(hù)測(cè)評(píng)準(zhǔn)則范圍本標(biāo)準(zhǔn)規(guī)定了對(duì)信息系統(tǒng)安全等級(jí)保護(hù)狀況進(jìn)行安全測(cè)試評(píng)估的要求,包括第一級(jí)、第二級(jí)、第三級(jí)和第四級(jí)信息系統(tǒng)安全控制測(cè)評(píng)要求和系統(tǒng)整體測(cè)評(píng)要求。本標(biāo)準(zhǔn)沒(méi)有規(guī)定第五級(jí)信息系統(tǒng)安全控制測(cè)評(píng)的具體內(nèi)容要求。本標(biāo)準(zhǔn)適用于測(cè)評(píng)機(jī)構(gòu)、信息系統(tǒng)的主管部門及運(yùn)營(yíng)使用單位對(duì)信息系統(tǒng)安全等級(jí)保護(hù)狀況進(jìn)行的安全測(cè)試評(píng)估。信息安全監(jiān)管職能部門依法進(jìn)行的信息安全等級(jí)保護(hù)監(jiān)督檢查可以參考使用。規(guī)范性引用文件下列文件中的條款通過(guò)本標(biāo)準(zhǔn)的引用而成為本標(biāo)準(zhǔn)的條款。凡是注日期的引用文件,其隨后所有的修改單（不包括勘誤的內(nèi)容）或修訂版均不適用于本標(biāo)準(zhǔn),然而，鼓勵(lì)根據(jù)本標(biāo)準(zhǔn)達(dá)成協(xié)議的各方研究是否可使用這些文件的最新版本。凡是不注日期的引用文件，其最新版本適用于本標(biāo)準(zhǔn)。GB17859-1999計(jì)算機(jī)信息系統(tǒng)安全保護(hù)等級(jí)劃分準(zhǔn)則GB/T5271.8-2001信息技術(shù)詞匯第8部分:安全GB/Txxx-2005信息系統(tǒng)安全等級(jí)保護(hù)基本要求術(shù)語(yǔ)和定義GB/T5271.8-2001和GB/Txxx-2005信息系統(tǒng)安全等級(jí)保護(hù)基本要求所確立的以及下列術(shù)語(yǔ)和定義適用于本標(biāo)準(zhǔn)。3.1工作單元workunit工作單元是安全測(cè)評(píng)的最小工作單位，由測(cè)評(píng)項(xiàng)、測(cè)評(píng)方式、測(cè)評(píng)對(duì)象、測(cè)評(píng)實(shí)施和結(jié)果判定等組成，分別描述測(cè)評(píng)目的和內(nèi)容、測(cè)評(píng)使用的方式方法、測(cè)試過(guò)程中涉及的測(cè)評(píng)對(duì)象、具體測(cè)試實(shí)施取證過(guò)程要求和測(cè)評(píng)證據(jù)的結(jié)果判定規(guī)則與方法。3.2測(cè)評(píng)強(qiáng)度testing&evaIuationintensity測(cè)評(píng)的廣度和深度，體現(xiàn)測(cè)評(píng)工作的實(shí)際投入程度。3.3訪談interview測(cè)評(píng)人員通過(guò)與信息系統(tǒng)有關(guān)人員（個(gè)人/群體）進(jìn)行交流、討論等活動(dòng),獲取證據(jù)以證明信息系統(tǒng)安全等級(jí)保護(hù)措施是否有效的ー種方法。3.4檢查examination不同于行政執(zhí)法意義上的監(jiān)督檢查，是指測(cè)評(píng)人員通過(guò)對(duì)測(cè)評(píng)對(duì)象進(jìn)行觀察、查驗(yàn)、分析等活動(dòng)，獲取證據(jù)以證明信息系統(tǒng)安全等級(jí)保護(hù)措施是否有效的一種方法。3.5測(cè)試testing測(cè)評(píng)人員通過(guò)對(duì)測(cè)評(píng)対象按照預(yù)定的方法/工具使其產(chǎn)生特定的行為等活動(dòng)，查看、分析輸出結(jié)果，獲取證據(jù)以證明信息系統(tǒng)安全等級(jí)保護(hù)措施是否有效的ー種方法。3.6被測(cè)系統(tǒng)informationsystemundertesting&evaIuation處在信息安全等級(jí)保護(hù)安全測(cè)試評(píng)估之下的信息系統(tǒng)。7安全控制間安全測(cè)評(píng)testing&evaIuationamongsecuritycontrols測(cè)評(píng)分析在同一區(qū)域和層面內(nèi)兩個(gè)或者兩個(gè)以上不同安全控制之間由于存在連接、交互、依賴、協(xié)調(diào)、協(xié)同等相互關(guān)聯(lián)關(guān)系而產(chǎn)生的安全功能增強(qiáng)、補(bǔ)充或削弱等關(guān)聯(lián)作用對(duì)信息系統(tǒng)整體安全保護(hù)能力的影響。8層面間安全測(cè)評(píng)testing&evaIuationamonglayers測(cè)評(píng)分析在同一區(qū)域內(nèi)兩個(gè)或者兩個(gè)以上不同層面之間由于存在連接、交互、依賴、協(xié)調(diào)、協(xié)同等相互關(guān)聯(lián)關(guān)系而產(chǎn)生的安全功能增強(qiáng)、補(bǔ)充或削弱等關(guān)聯(lián)作用對(duì)信息系統(tǒng)安全保護(hù)能力的影響。9區(qū)域間安全測(cè)評(píng)testing&evaIuationamongareasanddomains測(cè)評(píng)分析兩個(gè)或者兩個(gè)以上不同物理邏輯區(qū)域之間由于存在連接、交互、依賴、協(xié)調(diào)、協(xié)同等相互關(guān)聯(lián)關(guān)系而產(chǎn)生的安全功能增強(qiáng)、補(bǔ)充或削弱等關(guān)聯(lián)作用對(duì)信息系統(tǒng)安全保護(hù)能カ的影響。4總則1測(cè)評(píng)原則a）客觀性和公正性原則雖然測(cè)評(píng)工作不能完全擺脫個(gè)人主張或判斷,但測(cè)評(píng)人員應(yīng)當(dāng)沒(méi)有偏見,在最小主觀判斷情形下,按照測(cè)評(píng)雙方相互認(rèn)可的測(cè)評(píng)方案,基于明確定義的測(cè)評(píng)方式和解釋,實(shí)施測(cè)評(píng)活動(dòng)。b）經(jīng)濟(jì)性和可重用性原則基于測(cè)評(píng)成本和工作復(fù)雜性考慮，鼓勵(lì)測(cè)評(píng)工作重用以前的測(cè)評(píng)結(jié)果，包括商業(yè)安全產(chǎn)品測(cè)評(píng)結(jié)果和信息系統(tǒng)先前的安全測(cè)評(píng)結(jié)果。所有重用的結(jié)果,都應(yīng)基于結(jié)果適用于目前的系統(tǒng)，并且能夠反映出目前系統(tǒng)的安全狀態(tài)基礎(chǔ)之上。c）可重復(fù)性和可再現(xiàn)性原則不論誰(shuí)執(zhí)行測(cè)評(píng),依照同樣的要求,使用同樣的測(cè)評(píng)方式，對(duì)每個(gè)測(cè)評(píng)實(shí)施過(guò)程的車復(fù)執(zhí)行應(yīng)該得到同樣的結(jié)果。可再現(xiàn)性和可重復(fù)性的區(qū)別在于，前者與不同測(cè)評(píng)者測(cè)評(píng)結(jié)果的一致性有關(guān)，后者與同一測(cè)評(píng)者測(cè)評(píng)結(jié)果的一致性有關(guān)。d）結(jié)果完善性原則測(cè)評(píng)所產(chǎn)生的結(jié)果應(yīng)當(dāng)證明是良好的判斷和對(duì)測(cè)評(píng)項(xiàng)的正確理解。測(cè)評(píng)過(guò)程和結(jié)果應(yīng)當(dāng)服從正確的測(cè)評(píng)方法以確保其滿足了測(cè)評(píng)項(xiàng)的要求。2測(cè)評(píng)內(nèi)容1基本內(nèi)容對(duì)信息系統(tǒng)安全等級(jí)保護(hù)狀況進(jìn)行測(cè)試評(píng)估,應(yīng)包括兩個(gè)方面的內(nèi)容:ー是安全控制測(cè)評(píng)，主要測(cè)評(píng)信息安全等級(jí)保護(hù)要求的基本安全控制在信息系統(tǒng)中的實(shí)施配置情況;二是系統(tǒng)整體測(cè)評(píng),主要測(cè)評(píng)分析信息系統(tǒng)的整體安全性。其中，安全控制測(cè)評(píng)是信息系統(tǒng)整體安全測(cè)評(píng)的基礎(chǔ)。對(duì)安全控制測(cè)評(píng)的描述，使用工作單元方式組織。工作單元分為安全技術(shù)測(cè)評(píng)和安全管理測(cè)評(píng)兩大類。安全技術(shù)測(cè)評(píng)包括:物理安全、網(wǎng)絡(luò)安全、主機(jī)系統(tǒng)安全、應(yīng)用安全和數(shù)據(jù)安全等五個(gè)層面上的安全控制測(cè)評(píng);安全管理測(cè)評(píng)包括:安全管理機(jī)構(gòu)、安全管理制度、人員安全管理、系統(tǒng)建設(shè)管理和系統(tǒng)運(yùn)維管理等五個(gè)方面的安全控制測(cè)評(píng)。系統(tǒng)整體測(cè)評(píng)涉及到信息系統(tǒng)的整體拓?fù)?、局部結(jié)構(gòu),也關(guān)系到信息系統(tǒng)的具體安全功能實(shí)現(xiàn)和安全控制配置,與特定信息系統(tǒng)的實(shí)際情況緊密相關(guān),內(nèi)容復(fù)雜且充滿系統(tǒng)個(gè)性。因此,全面地給出系統(tǒng)整體測(cè)評(píng)要求的完整內(nèi)容、具體實(shí)施方法和明確的結(jié)果判定方法是很困難的。測(cè)評(píng)人員應(yīng)根據(jù)特定信息系統(tǒng)的具體情況，結(jié)合本標(biāo)準(zhǔn)要求，確定系統(tǒng)整體測(cè)評(píng)的具體內(nèi)容，在安全控制測(cè)評(píng)的基礎(chǔ)匕重點(diǎn)考慮安全控制間、層面間以及區(qū)域間的相互關(guān)聯(lián)關(guān)系，測(cè)評(píng)安全控制間、層面間和區(qū)域間是否存在安全功能上的增強(qiáng)、補(bǔ)充和削弱作用以及信息系統(tǒng)整體結(jié)構(gòu)安全性、不同信息系統(tǒng)之間整體安全性等。4.2.2工作單元工作單元是安全測(cè)評(píng)的基本工作單位,對(duì)應(yīng)ー組相對(duì)獨(dú)立和完整的測(cè)評(píng)內(nèi)容。工作單元由測(cè)評(píng)項(xiàng)、測(cè)評(píng)對(duì)象、測(cè)評(píng)方式、測(cè)評(píng)實(shí)施和結(jié)果判定組成，如圖I所示。工作單元測(cè)評(píng)項(xiàng) > 具體技術(shù)和管理要求測(cè)評(píng)方式 > 訪談/檢查/測(cè)試測(cè)評(píng)對(duì)象 >人員/文檔/機(jī)制/設(shè)備測(cè)評(píng)實(shí)施 > 測(cè)評(píng)方式+對(duì)象+操作結(jié)果判定 ? 是否符合測(cè)評(píng)項(xiàng)要求圖1工作單元構(gòu)成測(cè)評(píng)項(xiàng)描述測(cè)評(píng)目的和測(cè)評(píng)內(nèi)容，與信息安全等級(jí)保護(hù)要求的基本安全控制要求相一致。測(cè)評(píng)方式是指測(cè)評(píng)人員依據(jù)測(cè)評(píng)目的和測(cè)評(píng)內(nèi)容應(yīng)選取的、實(shí)施特定測(cè)評(píng)操作的方式方法，包括三種基本測(cè)評(píng)方式:訪談、檢查和測(cè)試。測(cè)評(píng)對(duì)象是測(cè)評(píng)實(shí)施過(guò)程中涉及到的信息系統(tǒng)的構(gòu)成成分，是客觀存在的人員、文檔、機(jī)制或者設(shè)備等。測(cè)評(píng)對(duì)象是根據(jù)該工作單元中的測(cè)評(píng)項(xiàng)要求提出的,與測(cè)評(píng)項(xiàng)的要求相適應(yīng)。一般來(lái)說(shuō)，實(shí)施測(cè)評(píng)時(shí)，面臨的具體測(cè)評(píng)對(duì)象可以是單個(gè)人員、文檔、機(jī)制或者設(shè)備等,也可能是由多個(gè)人員、文檔、機(jī)制或者設(shè)備等構(gòu)成的集合,它們分別需要使用到某個(gè)特定安全控制的功能。測(cè)評(píng)實(shí)施是工作單元的主要組成部分,它是依據(jù)測(cè)評(píng)目的，針對(duì)具體測(cè)評(píng)內(nèi)容開發(fā)出來(lái)的具體測(cè)評(píng)執(zhí)行實(shí)施過(guò)程要求。測(cè)評(píng)實(shí)施描述測(cè)評(píng)過(guò)程中涉及到的具體測(cè)評(píng)方式、內(nèi)容以及需要實(shí)現(xiàn)的和/或應(yīng)該取得的測(cè)評(píng)結(jié)果。在測(cè)評(píng)實(shí)施過(guò)程描述中使用助動(dòng)詞“應(yīng)（應(yīng)該）”，表示這些過(guò)程是強(qiáng)制性活動(dòng)，測(cè)評(píng)人員為作出結(jié)論必須完成這些過(guò)程;使用助動(dòng)詞“可（可以）”表示這些過(guò)程是非強(qiáng)制性活動(dòng)，對(duì)測(cè)評(píng)人員作出結(jié)論沒(méi)有根本性影響，因此測(cè)評(píng)人員可根據(jù)實(shí)際情況選擇完成這些過(guò)程。結(jié)果判定描述測(cè)評(píng)人員執(zhí)行完測(cè)評(píng)實(shí)施過(guò)程,產(chǎn)生各種測(cè)評(píng)證據(jù)后，如何依據(jù)這些測(cè)評(píng)證據(jù)來(lái)判定被測(cè)系統(tǒng)是否滿足測(cè)評(píng)項(xiàng)要求的方法和原則。在給出整個(gè)工作單元的測(cè)評(píng)結(jié)論前,需耍先給出單項(xiàng)測(cè)評(píng)實(shí)施過(guò)程的結(jié)論。一般來(lái)說(shuō),單項(xiàng)測(cè)評(píng)實(shí)施過(guò)程的結(jié)論判定不是直接的,常常需要測(cè)評(píng)人員的主觀判斷,通常認(rèn)為取得正確的、關(guān)鍵性證據(jù),該單項(xiàng)測(cè)評(píng)實(shí)施過(guò)程就得到滿足。某些安全控制可能在多個(gè)具體測(cè)評(píng)對(duì)象上實(shí)現(xiàn)（如主機(jī)系統(tǒng)的身份鑒別）,在測(cè)評(píng)時(shí)發(fā)現(xiàn)只有部分測(cè)評(píng)對(duì)象上的安全控制滿足要求，它們的結(jié)果判定應(yīng)根據(jù)實(shí)際情況給出。對(duì)某些安全機(jī)制的測(cè)評(píng)要求采取滲透測(cè)試，主要是為了使測(cè)評(píng)強(qiáng)度與信息系統(tǒng)的安全等級(jí)相一致，滲透測(cè)試的測(cè)試結(jié)果一般不用到工作單元的結(jié)果判定中。如果某項(xiàng)測(cè)評(píng)實(shí)施過(guò)程在特定信息系統(tǒng)中不適用或者不能按測(cè)評(píng)實(shí)施過(guò)程取得相應(yīng)證據(jù)，而測(cè)評(píng)人員能夠采用其他實(shí)施手段取得等同的有效證據(jù),則可判定該測(cè)評(píng)實(shí)施項(xiàng)為肯定。2.3測(cè)評(píng)強(qiáng)度測(cè)評(píng)強(qiáng)度是在測(cè)評(píng)過(guò)程中,對(duì)測(cè)評(píng)內(nèi)容實(shí)施測(cè)評(píng)的工作強(qiáng)度,體現(xiàn)為測(cè)評(píng)工作的實(shí)際投入程度，反映出測(cè)評(píng)的廣度和深度。測(cè)評(píng)廣度越大，測(cè)評(píng)實(shí)施的范圍越大，測(cè)評(píng)實(shí)施包含的測(cè)評(píng)對(duì)象就越多，測(cè)評(píng)的深度越深，越需要在細(xì)節(jié)上展開，因此就越需要更多的投入。投入越多就越能為測(cè)評(píng)提供更好的保證，體現(xiàn)測(cè)評(píng)強(qiáng)度越強(qiáng)。測(cè)評(píng)的廣度和深度落實(shí)到訪談、檢查和測(cè)試等三種基本測(cè)評(píng)方式上，其含義有所不同,體現(xiàn)出測(cè)評(píng)實(shí)施過(guò)程中訪談、檢査和測(cè)試的投入程度不同?？梢酝ㄟ^(guò)測(cè)評(píng)廣度和深度來(lái)描述訪談、檢查和測(cè)試三種測(cè)評(píng)方式的測(cè)評(píng)強(qiáng)度。信息安全等級(jí)保護(hù)要求不同安全等級(jí)的信息系統(tǒng)應(yīng)具有不同的安全保護(hù)能力，滿足相應(yīng)安全等級(jí)的保護(hù)要求。測(cè)評(píng)驗(yàn)證不同安全等級(jí)的信息系統(tǒng)是否達(dá)具有相應(yīng)安全等級(jí)的安全保護(hù)能力，是否滿足相應(yīng)安全等級(jí)的保護(hù)要求，需要實(shí)施與其安全等級(jí)相適應(yīng)的測(cè)評(píng)評(píng)估，付出相應(yīng)的工作投入，達(dá)到應(yīng)有的測(cè)評(píng)強(qiáng)度。信息安全等級(jí)保護(hù)要求第?級(jí)到第四級(jí)信息系統(tǒng)的測(cè)評(píng)強(qiáng)度在總體上可以反映在訪談、檢查和測(cè)試等三種基本測(cè)評(píng)方式的測(cè)評(píng)廣度和深度上，體現(xiàn)在具體的測(cè)評(píng)實(shí)施過(guò)程中（具體見附錄A）。4.3結(jié)果重用在信息系統(tǒng)所有安全控制中，有一些安全控制是不依賴于其所在的地點(diǎn)便可測(cè)評(píng),即在其部署到運(yùn)行環(huán)境之前便可以接受安全測(cè)評(píng)。如果ー個(gè)信息系統(tǒng)部署和安裝在多個(gè)地點(diǎn)，且系統(tǒng)具有一組共同的軟件、硬件、固件組成部分，對(duì)于此類安全控制的測(cè)評(píng)可以集中在?個(gè)集成測(cè)試環(huán)境中實(shí)施，如果沒(méi)有這種環(huán)境，則可以在其中一個(gè)預(yù)定的運(yùn)行地點(diǎn)實(shí)施,在其他運(yùn)行地點(diǎn)的安全測(cè)評(píng)便可重用此測(cè)評(píng)結(jié)果。在信息系統(tǒng)所有安全控制中，有一些安全控制與它所處于的運(yùn)行環(huán)境緊密相關(guān)（如與人員或物理有關(guān)的某些安全控制）,對(duì)其測(cè)評(píng)必須在信息系統(tǒng)分發(fā)到運(yùn)行環(huán)境中才能進(jìn)行。如果多個(gè)信息系統(tǒng)處在地域臨近的封閉場(chǎng)地內(nèi),系統(tǒng)所屬的機(jī)構(gòu)同在ー個(gè)領(lǐng)導(dǎo)層管理之下。對(duì)這些安全控制在多個(gè)信息系統(tǒng)中進(jìn)行重復(fù)測(cè)評(píng)對(duì)有效資源可能是?種浪費(fèi)，因此，可以在ー個(gè)選定的信息系統(tǒng)中進(jìn)行測(cè)評(píng),而在此場(chǎng)地的其他信息系統(tǒng)直接重用這些測(cè)評(píng)結(jié)果。4.4使用方法從第5章到第8章,描述了第一級(jí)、第二級(jí)、第三級(jí)和第四級(jí)安全控制測(cè)評(píng)的測(cè)試評(píng)估要求,分為安全技術(shù)測(cè)評(píng)和安全管理測(cè)評(píng)兩個(gè)小節(jié)。信息系統(tǒng)進(jìn)行信息安全等級(jí)保護(hù)建設(shè)時(shí)，可能會(huì)選擇使用與其安全等級(jí)不相同的安全控制來(lái)保護(hù)信息系統(tǒng),如安全等級(jí)為第三級(jí)的信息系統(tǒng),可能選擇使用第二級(jí)中安全技術(shù)部分上的某些安全控制。因此,測(cè)評(píng)人員應(yīng)根據(jù)特定信息系統(tǒng)選擇使用的安全控制來(lái)選擇本標(biāo)準(zhǔn)中相應(yīng)等級(jí)安全控制測(cè)評(píng)中的工作單元。測(cè)評(píng)人員在選擇完相應(yīng)工作單元后,應(yīng)根據(jù)信息系統(tǒng)的實(shí)際情況，結(jié)合第卜章系統(tǒng)整體測(cè)評(píng)的要求,進(jìn)ー步細(xì)化測(cè)評(píng)實(shí)施過(guò)程，開發(fā)相應(yīng)測(cè)評(píng)方案。測(cè)評(píng)過(guò)程中，測(cè)評(píng)人員應(yīng)注意測(cè)評(píng)記錄和證據(jù)的接收、處理、存儲(chǔ)和銷毀,保護(hù)其在測(cè)評(píng)期間免遭改變/遺失,并保守秘密。測(cè)評(píng)的最終輸出是測(cè)評(píng)報(bào)告,測(cè)評(píng)報(bào)告應(yīng)給出各個(gè)工作單元的測(cè)評(píng)結(jié)論,并報(bào)告信息系統(tǒng)的整體安全測(cè)試評(píng)估分析結(jié)果。5第一級(jí)安全控制測(cè)評(píng)安全技術(shù)測(cè)評(píng)1.1 物理安全1.1.1 物理訪問(wèn)控制1.1.1.1測(cè)評(píng)項(xiàng)a）機(jī)房出入應(yīng)有專人負(fù)責(zé)，機(jī)房設(shè)施，進(jìn)入機(jī)房的人員登記在案。1.1.1.2測(cè)評(píng)方式訪談，檢查。1.1.1.3測(cè)評(píng)對(duì)象物理安全負(fù)責(zé)人，機(jī)房安全管理制度，進(jìn)出機(jī)房的登記記錄。1.1.1.4測(cè)評(píng)實(shí)施a）應(yīng)訪談物理安全負(fù)責(zé)人,了解具有哪些控制機(jī)房進(jìn)出的能力;b）可檢查機(jī)房安全管理制度，查看是否有關(guān)于機(jī)房出入方面的規(guī)定;c）應(yīng)檢查機(jī)房是否有進(jìn)出機(jī)房的登記記錄。5.1.1.1.5結(jié)果判定5.1.1.1.4a）至少應(yīng)包括制訂了機(jī)房出入的管理制度,指定了專人負(fù)責(zé)機(jī)房出入,對(duì)進(jìn)入的人員登記在案,則該項(xiàng)為肯定；5.1.1.1.4a）,c）均為肯定，則信息系統(tǒng)符合本單元測(cè)評(píng)項(xiàng)要求。1.1.2 防盜竊和防破壞1.1.2.1測(cè)評(píng)項(xiàng)a）應(yīng)將主要設(shè)備放置在物理受限的范圍內(nèi);b）應(yīng)對(duì)設(shè)備或主要部件進(jìn)行固定，并設(shè)置明顯的無(wú)法除去的標(biāo)記。1.1.2.2測(cè)評(píng)方式訪談,檢查。1.1.2.3測(cè)評(píng)對(duì)象物理安全負(fù)責(zé)人，機(jī)房設(shè)施，設(shè)備管理制度。1.1.2.4測(cè)評(píng)實(shí)施a）應(yīng)訪談物理安全負(fù)責(zé)人,采取了哪些防止設(shè)備、介質(zhì)等丟失的保護(hù)措施；b）可檢查是否有設(shè)備管理制度文檔；c）應(yīng)檢查主要設(shè)備是否放置在機(jī)房?jī)?nèi)或其它不易被盜竊和破壞的可控范圍內(nèi);d）應(yīng)檢查主要設(shè)備或設(shè)備的主要部件的固定情況，是否不易被移動(dòng)或被搬走,是否設(shè)置明顯的無(wú)法除去的標(biāo)記。1.1.2.5結(jié)果判定5.1.1.2.4a）至少應(yīng)該包括制訂了設(shè)備管理制度，主要設(shè)備放置位置做到安全可控,設(shè)備或主要部件進(jìn)行了固定和標(biāo)記,則該項(xiàng)為肯定；5.1.1.2.4a）、c）-d）均為肯定，則信息系統(tǒng)符合本單元測(cè)評(píng)項(xiàng)要求。5.1.1.3 防雷擊5.1.1.3.1 測(cè)評(píng)項(xiàng)a）機(jī)房建筑應(yīng)設(shè)置避雷裝置。1.1.3.2 測(cè)評(píng)方式訪談,檢查。1.1.3.3測(cè)評(píng)對(duì)象物理安全負(fù)責(zé)人,機(jī)房設(shè)施,建筑防雷設(shè)計(jì)/驗(yàn)收文檔。1.1.3.4測(cè)評(píng)實(shí)施a）應(yīng)訪談物理安全負(fù)責(zé)人,詢問(wèn)為防止雷擊事件導(dǎo)致重要設(shè)備被破壞采取了哪些防護(hù)措施，機(jī)房建筑是否設(shè)置了避宙裝置,是否通過(guò)驗(yàn)收或國(guó)家有關(guān)部門的技術(shù)檢測(cè);b）可檢查機(jī)房是否有建筑防雷設(shè)計(jì)/驗(yàn)收文檔。1.1.3.5 結(jié)果判定5.1.1.3.4a）至少應(yīng)包括符合GB50057—1994《建筑物防雷設(shè)計(jì)規(guī)范》（GB157《建筑防宙設(shè)計(jì)規(guī)范》）中的計(jì)算機(jī)機(jī)房防雷要求，如果在由電頻繁區(qū)域，是否裝設(shè)浪涌電壓吸收裝置等，則該項(xiàng)為肯定;5.1.1.3.4a）為肯定，則信息系統(tǒng)符合本單元測(cè)評(píng)項(xiàng)要求。5.1.1.4 防火5.1.1.4.1 測(cè)評(píng)項(xiàng)a）應(yīng)設(shè)置滅火設(shè)備，并保持滅火設(shè)備的良好狀態(tài)。5.1.1.4.2 測(cè)評(píng)方式訪談，檢查。5.1.1.4.3測(cè)評(píng)對(duì)象物理安全負(fù)責(zé)人，機(jī)房設(shè)施,機(jī)房安全管理制度，機(jī)房防火設(shè)計(jì)/驗(yàn)收文檔。5.1.1.4.4測(cè)評(píng)實(shí)施a）應(yīng)訪談物理安全負(fù)責(zé)人,詢問(wèn)機(jī)房是否設(shè)置了滅火設(shè)備,是否制訂了有關(guān)機(jī)房消防的管理制度和消防預(yù)案，是否進(jìn)行了消防培訓(xùn);b）應(yīng)檢查機(jī)房是否設(shè)置了滅火設(shè)備，擺放位置是否合理,有效期是否合格;c）可檢查有關(guān)機(jī)房消防的管理制度文檔，檢查機(jī)房是否有防火設(shè)計(jì)/驗(yàn)收文檔。5.1.1.4.5 結(jié)果判定a）5.1.1.4.4a）、c）均為肯定，則信息系統(tǒng)符合本單元測(cè)評(píng)項(xiàng)要求。5.1.1.5 防水和防潮5.1.1.5.1 測(cè)評(píng)項(xiàng)a）應(yīng)對(duì)穿過(guò)墻壁和樓板的水管增加必要的保護(hù)措施,如設(shè)置套管；b）應(yīng)采取措施防止雨水通過(guò)屋頂和墻壁滲透。5.1.1.5.2 測(cè)評(píng)方式訪談,檢查。5.1.1.5.3 測(cè)評(píng)對(duì)象物理安全負(fù)責(zé)人，機(jī)房設(shè)施,建筑防水和防潮設(shè)計(jì)/驗(yàn)收文檔。1.1.5.4測(cè)評(píng)實(shí)施a）應(yīng)訪談物理安全負(fù)責(zé)人，詢問(wèn)機(jī)房建設(shè)是否有防水防潮措施，是否出現(xiàn)過(guò)漏水和返潮事件;如果機(jī)房?jī)?nèi)有上/下水管安裝，是否必要的保護(hù)措施,如設(shè)置套管等；b）可檢查機(jī)房是否有建筑防水和防潮設(shè)計(jì)/驗(yàn)收文檔；c）如果有管道穿過(guò)主機(jī)房墻壁和樓板處，應(yīng)檢查是否采取必要的保護(hù)措施，如設(shè)置套管等；d）應(yīng)檢查機(jī)房是否不存在屋頂和墻壁等出現(xiàn)過(guò)漏水、滲透和返潮現(xiàn)象，機(jī)房及其環(huán)境是否不存在明顯的漏水和返潮的威脅;如果出現(xiàn)漏水、滲透和返潮現(xiàn)是否能夠及時(shí)修復(fù)解決。1.1.5.5結(jié)果判定a）5.1.1.5.4a）、c）-d）均為肯定,則信息系統(tǒng)符合本單元測(cè)評(píng)項(xiàng)要求。5.1.1.6 溫濕度控制5.1.1.6.1 測(cè)評(píng)項(xiàng)a）應(yīng)設(shè)置必要的溫、濕度控制設(shè)施,使機(jī)房溫、濕度的變化在設(shè)備運(yùn)行所允許的范圍之內(nèi)。5.1.1.6.2測(cè)評(píng)方式訪談，檢查5.1.1.6.3測(cè)評(píng)對(duì)象物理安全負(fù)責(zé)人,機(jī)房設(shè)施，溫濕度控制設(shè)計(jì)/驗(yàn)收文檔。5.1.1.6.4測(cè)評(píng)實(shí)施a）應(yīng)訪談物理安全負(fù)責(zé)人，詢問(wèn)機(jī)房是否配備了空調(diào)等溫濕度控制設(shè)施，保證溫濕度能夠滿足計(jì)算機(jī)設(shè)備運(yùn)行的要求,是否在機(jī)房管理制度中規(guī)定了溫濕度控制的要求，是否有人負(fù)責(zé)此項(xiàng)工作;b）可檢查機(jī)房是否有溫濕度控制設(shè)計(jì)/驗(yàn)收文檔;c）應(yīng)檢查空調(diào)設(shè)備是否能夠正常運(yùn)行,檢查機(jī)房溫濕度是否滿足GB2887-89《計(jì)算站場(chǎng)地技術(shù)條件》的要求。5.1,1,6.5結(jié)果判定a）5.1.1.6.4a）、c）均為肯定，則信息系統(tǒng)符合本單元測(cè)評(píng)項(xiàng)要求。1,1.7 電カ供應(yīng)1.1.7.1 測(cè)評(píng)項(xiàng)a）計(jì)算機(jī)系統(tǒng)供電應(yīng)與其他供電分開;b）應(yīng)設(shè)置穩(wěn)壓器和過(guò)電壓防護(hù)設(shè)備。1.1.7.2測(cè)評(píng)方式訪談,檢查。1.1.7.3測(cè)評(píng)對(duì)象物理安全負(fù)責(zé)人,機(jī)房設(shè)施,電カ供應(yīng)安全設(shè)計(jì)/驗(yàn)收文檔。1.1.7.4測(cè)評(píng)實(shí)施a）應(yīng)訪談物理安全負(fù)責(zé)人,詢問(wèn)計(jì)算機(jī)系統(tǒng)供電線路是否與其他供電分開;詢問(wèn)計(jì)算機(jī)系統(tǒng)供電線路上是否設(shè)置了穩(wěn)壓器和過(guò)電壓防護(hù)設(shè)備；b）可檢查機(jī)房是否有電カ供應(yīng)安全設(shè)計(jì)/驗(yàn)收文檔；c）應(yīng)檢查計(jì)算機(jī)供電線路,查看計(jì)算機(jī)系統(tǒng)供電是否與其他供電分開;d）應(yīng)檢查機(jī)房,查看計(jì)算機(jī)系統(tǒng)供電線路上的穩(wěn)壓器和過(guò)電壓防護(hù)設(shè)備是否正常運(yùn)行。1.1,7.5結(jié)果判定a）5.1.1.7.4a）、c）-d）均為肯定,則信息系統(tǒng)符合本單元測(cè)評(píng)項(xiàng)要求。5.1.2網(wǎng)絡(luò)安全5.1.2.1 結(jié)構(gòu)安全與網(wǎng)段劃分5.1.2.1.1測(cè)評(píng)項(xiàng)a）主要網(wǎng)絡(luò)設(shè)備的業(yè)務(wù)處理能力應(yīng)滿足基本業(yè)務(wù)需要；b）根據(jù)機(jī)構(gòu)業(yè)務(wù)的特點(diǎn)，在滿足基本業(yè)務(wù)需要的基礎(chǔ)上,應(yīng)合理設(shè)計(jì)網(wǎng)絡(luò)接入及核心網(wǎng)絡(luò)的帶寬；c）應(yīng)在業(yè)務(wù)終端與業(yè)務(wù)服務(wù)器之間進(jìn)行路由控制,并建立安全的訪問(wèn)路徑；d）應(yīng)設(shè)計(jì)和繪制與當(dāng)前運(yùn)行情況相符的網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)圖。5.1.2.1.2測(cè)評(píng)方式訪談,檢查。5.1.2.1.3測(cè)評(píng)對(duì)象網(wǎng)絡(luò)結(jié)構(gòu),網(wǎng)絡(luò)管理員,邊界和關(guān)鍵網(wǎng)絡(luò)設(shè)備,網(wǎng)絡(luò)拓?fù)鋱D,網(wǎng)絡(luò)設(shè)計(jì)/驗(yàn)收文檔。5.1.2.1.4測(cè)評(píng)實(shí)施a）可訪談網(wǎng)絡(luò)管理員,詢問(wèn)信息系統(tǒng)中的邊界和關(guān)鍵網(wǎng)絡(luò)設(shè)備的亜務(wù)處理能力是否滿足基本業(yè)務(wù)需求;b）可訪談網(wǎng)絡(luò)管理員,詢問(wèn)目前的網(wǎng)絡(luò)接入及核心網(wǎng)絡(luò)的帶寬是否滿足業(yè)務(wù)需要:c）可訪談網(wǎng)絡(luò)管理員,詢問(wèn)網(wǎng)絡(luò)設(shè)備上的路由控制策略措施有哪些,這些策略設(shè)計(jì)的目的是什么:d）應(yīng)檢查是否繪制有網(wǎng)絡(luò)拓?fù)鋱D,并檢查拓?fù)鋱D是否與當(dāng)前運(yùn)行情況一致;e）應(yīng)檢查網(wǎng)絡(luò)設(shè)計(jì)/驗(yàn)收文檔，查看是否有邊界和關(guān)鍵網(wǎng)絡(luò)設(shè)備的處理能力是否能滿足基本業(yè)務(wù)需求的能力，網(wǎng)絡(luò)接入及核心網(wǎng)絡(luò)的帶寬能否滿足業(yè)務(wù)需要的設(shè)計(jì)或說(shuō)明;f）應(yīng)檢查邊界和關(guān)鍵網(wǎng)絡(luò)設(shè)備,查看是否配置路由控制策略（如使用靜態(tài)路由等）建立安全的訪問(wèn)路徑。5.1.2.1.5結(jié)果判定a）如果5.1.2.1.4e）中缺少相應(yīng)的文檔，則該項(xiàng)為否定；b）5.1.2.1.4d）-f）均為肯定,則信息系統(tǒng)符合本單元測(cè)評(píng)項(xiàng)要求。1,2,2 網(wǎng)絡(luò)訪問(wèn)控制1.2.2.1測(cè)評(píng)項(xiàng)a）應(yīng)根據(jù)訪問(wèn)控制列表對(duì)源地址、目的地址、源端口、目的端口、協(xié)議等進(jìn)行檢查，允許/拒絕數(shù)據(jù)包出入。1.2.2.2測(cè)評(píng)方式訪談,檢查。1.2.2.3測(cè)評(píng)對(duì)象安全員,邊界網(wǎng)絡(luò)設(shè)備。1.2.2.4測(cè)評(píng)實(shí)施a）可訪談安全員，詢問(wèn)采取網(wǎng)絡(luò)訪問(wèn)控制的措施有哪些；詢問(wèn)訪問(wèn)控制策略的設(shè)計(jì)原則；詢問(wèn)網(wǎng)絡(luò)訪問(wèn)控制設(shè)備具備的訪問(wèn)控制功能（如是基于狀態(tài)的，還是基于包過(guò)濾等）；b）應(yīng)檢査邊界網(wǎng)絡(luò)設(shè)備（包括網(wǎng)絡(luò)安全設(shè)備），查看是否有正確的訪問(wèn)控制列表（如ACL）對(duì)數(shù)據(jù)的源地址、目的地址、源端口、目的端口、協(xié)議等進(jìn)行控制。1.2.2.5結(jié)果判定a）5.1.2.2.4b）為肯定，則信息系統(tǒng)符合本單元測(cè)評(píng)項(xiàng)要求。1.2.3撥號(hào)訪問(wèn)控制1.2.3.1測(cè)評(píng)項(xiàng)a）通過(guò)訪問(wèn)控制列表對(duì)系統(tǒng)資源實(shí)現(xiàn)允許或拒絕用戶訪問(wèn),控制粒度為用戶組。1.2.3.2測(cè)評(píng)方式訪談,檢查。1.2.3.3測(cè)評(píng)對(duì)象安全員,邊界網(wǎng)絡(luò)設(shè)備。1.2.3.4 測(cè)評(píng)實(shí)施a）可訪談安全員,詢問(wèn)網(wǎng)絡(luò)是否允許撥號(hào)訪問(wèn)網(wǎng)絡(luò):詢問(wèn)對(duì)撥號(hào)訪問(wèn)控制的策略是什么,采取何種技術(shù)手段實(shí)現(xiàn)（如使用防火墻還是使用路由器實(shí)現(xiàn)）,撥號(hào)訪問(wèn)用戶的權(quán)限分配原則是什么;b）應(yīng)檢查邊界網(wǎng)絡(luò)設(shè)備（如路由器,防火墻,認(rèn)證網(wǎng)關(guān)）,查看是否正確的配置了撥號(hào)訪問(wèn)控制列表（對(duì)系統(tǒng)資源實(shí)現(xiàn)允許或拒絕用戶訪問(wèn)），并查看其控制粒度是否為用戶組。1.2.3.5結(jié)果判定a）5.1.2.3.4b）為肯定，則信息系統(tǒng)符合本単元測(cè)評(píng)項(xiàng)要求。1,2.4 網(wǎng)絡(luò)設(shè)備防護(hù)1.2.4.1 測(cè)評(píng)項(xiàng)a）應(yīng)對(duì)登錄網(wǎng)絡(luò)設(shè)備的用戶進(jìn)行身份鑒別;b）應(yīng)具有登錄失敗處理功能，如結(jié)束會(huì)話、限制非法登錄次數(shù)。5.1.2.4.2測(cè)評(píng)方式訪談，檢查。5.1.2.4.3 測(cè)評(píng)對(duì)象網(wǎng)絡(luò)管理員,邊界和關(guān)鍵網(wǎng)絡(luò)設(shè)備（包含安全設(shè)備）。5.1,2.4.4 測(cè)評(píng)實(shí)施a）可訪談網(wǎng)絡(luò)管理員，詢問(wèn)對(duì)關(guān)鍵網(wǎng)絡(luò)設(shè)備的防護(hù)措施有哪些;詢問(wèn)采取的網(wǎng)絡(luò)設(shè)備的口令策略是什么;詢問(wèn)對(duì)關(guān)鍵網(wǎng)絡(luò)設(shè)備的登錄和驗(yàn)證方式做過(guò)何種特定配置;b）應(yīng)檢查邊界和關(guān)鍵網(wǎng)絡(luò)設(shè)備上的安全配置，査看是否對(duì)登錄關(guān)鍵網(wǎng)絡(luò)設(shè)備的用戶進(jìn)行身份鑒別；c）應(yīng)檢查邊界和關(guān)鍵網(wǎng)絡(luò)設(shè)備上的安全配置,查看是否對(duì)鑒別失敗采取相應(yīng)的措施（如是否有鑒別失敗后鎖定帳號(hào)等措施）:查看是否限制非法登錄次數(shù)。5.1.2,4.5結(jié)果判定a）5.1.2.4.4b）-c）均為肯定，則信息系統(tǒng)符合本單元測(cè)評(píng)項(xiàng)要求。5.1.3主機(jī)系統(tǒng)安全5.1,3.1身份鑒別5.1.3.1.1測(cè)評(píng)項(xiàng)a）應(yīng)對(duì)登錄操作系統(tǒng)和數(shù)據(jù)庫(kù)管理系統(tǒng)的用戶進(jìn)行身份標(biāo)識(shí)和鑒別；b）應(yīng)具有登錄失敗處理功能，如結(jié)束會(huì)話、限制非法登錄次數(shù)。5.1.3.1.2測(cè)評(píng)方式訪談,檢查，測(cè)試。.3 測(cè)評(píng)對(duì)象系統(tǒng)管理員，數(shù)據(jù)庫(kù)管理員,核心服務(wù)器操作系統(tǒng)，核心數(shù)據(jù)庫(kù)管理系統(tǒng)。5.1.3.1.4 測(cè)評(píng)實(shí)施a）應(yīng)檢查服務(wù)器操作系統(tǒng)和數(shù)據(jù)庫(kù)管理系統(tǒng)的身份鑒別功能是否具有等級(jí)保護(hù)ー級(jí)以上或TCSECC1級(jí)以上的測(cè)試報(bào)告；b）可訪談系統(tǒng)管理員,詢問(wèn)操作系統(tǒng)的身份標(biāo)識(shí)與鑒別機(jī)制采取何種措施實(shí)現(xiàn)；c）應(yīng)檢查核心服務(wù)器操作系統(tǒng)，查看是否提供了身份鑒別措施（如用戶名和口令等）;d）應(yīng)檢査核心服務(wù)器操作系統(tǒng)，査看是否已配置了鑒別失敗處理功能，并設(shè)置了非法登錄次數(shù)的限制值;e）應(yīng)測(cè)試核心服務(wù)器操作系統(tǒng),驗(yàn)證當(dāng)進(jìn)入操作系統(tǒng)時(shí)，是否先需要進(jìn)行標(biāo)識(shí)（如建立賬號(hào)）；f）可訪談數(shù)據(jù)庫(kù)管理員,詢問(wèn)數(shù)據(jù)庫(kù)的身份標(biāo)識(shí)與鑒別機(jī)制采取何種措施實(shí)現(xiàn);g）應(yīng)查看核心數(shù)據(jù)庫(kù)管理系統(tǒng),查看是否提供了身份鑒別措施（如用戶名和口令等）;h）應(yīng)檢查核心數(shù)據(jù)庫(kù)管理系統(tǒng),查看是否己配置了鑒別失敗處理功能,并設(shè)置了非法登錄次數(shù)的限制值;i）應(yīng)測(cè)試核心數(shù)據(jù)庫(kù)管理系統(tǒng),驗(yàn)證當(dāng)進(jìn)入數(shù)據(jù)庫(kù)管理系統(tǒng)前是否必須進(jìn)行標(biāo)識(shí)（如建立賬號(hào)）。5.1.3.1.5結(jié)果判定a）如果5.1.3.1.4a）為肯定,則測(cè)評(píng)實(shí)施c）-e）和g）-i）為肯定；b）測(cè)評(píng)實(shí)施c）-e）和g）-i）均為肯定，則信息系統(tǒng)符合本單元測(cè)評(píng)項(xiàng)要求。5.1.3.2 自主訪問(wèn)控制5.1.3.2.1 測(cè)評(píng)項(xiàng)a）操作系統(tǒng)和數(shù)據(jù)庫(kù)管理系統(tǒng)應(yīng)依據(jù)安全策略控制用戶對(duì)客體的訪問(wèn);b）自主訪問(wèn)控制的覆蓋范圍應(yīng)包括與信息安全宜接相關(guān)的主體、客體及它們之間的操作；c）操作系統(tǒng)和數(shù)據(jù)庫(kù)管理系統(tǒng)自主訪問(wèn)控制的粒度應(yīng)達(dá)到主體為用戶組/用戶級(jí)，客體為文件、數(shù)據(jù)庫(kù)表級(jí)；d）應(yīng)由授權(quán)主體設(shè)置對(duì)客體訪問(wèn)和操作的權(quán)限；e）應(yīng)嚴(yán)格限制默認(rèn)用戶的訪問(wèn)權(quán)限。5.1.3.2.2測(cè)評(píng)方式檢查。5.1.3.2.3測(cè)評(píng)對(duì)象核心服務(wù)器操作系統(tǒng)，核心數(shù)據(jù)庫(kù)管理系統(tǒng),安全策略。5.1.3.2.4測(cè)評(píng)實(shí)施a）應(yīng)檢查服務(wù)器操作系統(tǒng)和數(shù)據(jù)庫(kù)管理系統(tǒng)的自主訪問(wèn)控制功能是否具有等級(jí)保護(hù)ー級(jí)以上或TCSECC1級(jí)以上的測(cè)試報(bào)告；b）應(yīng)檢查服務(wù)器操作系統(tǒng)的安全策略，査看是否明確主體（如用戶）以用戶和/或用戶組的身份規(guī)定對(duì)客體（如文件）的訪問(wèn)控制,覆蓋范圍是否包括與信息安全直接相關(guān)的主體（如用戶）和客體（如文件）及它們之間的操作（如讀或?qū)懀?；c）應(yīng)檢查核心服務(wù)器操作系統(tǒng)，查看客體（如文件）的所有者是否可以改變其相應(yīng)訪問(wèn)控制列表的屬性，得到授權(quán)的用戶是否可以改變相應(yīng)客體訪問(wèn)控制列表的屬性；d）應(yīng)查看核心服務(wù)器操作系統(tǒng),查看匿名/默認(rèn)用戶的訪問(wèn)權(quán)限是否已被禁用或者嚴(yán)格限制（如限定在有限的范圍內(nèi)）；e）應(yīng)檢查數(shù)據(jù)庫(kù)管理系統(tǒng)的安全策略，查看是否明確主體對(duì)客體的訪問(wèn)權(quán)限（如目錄表訪問(wèn)控制/存取控制表訪問(wèn)控制等），是否允許主體（如用戶）以用戶和/或用戶組的身份規(guī)定并控制對(duì)客體（如數(shù)據(jù)庫(kù)表）的訪問(wèn)控制；f）應(yīng)檢查核心數(shù)據(jù)庫(kù)管理系統(tǒng)，查看客體（如數(shù)據(jù)庫(kù)表、視圖、存儲(chǔ)過(guò)程和觸發(fā)器等）的所有者是否可以改變其相應(yīng)訪問(wèn)控制列表的屬性,得到授權(quán)的用戶是否可以改變相應(yīng)客體訪問(wèn)控制列表的屬性；g）應(yīng)檢査核心數(shù)據(jù)庫(kù)管理系統(tǒng),查看匿名/默認(rèn)用戶的訪問(wèn)權(quán)限是否已被禁用或者嚴(yán)格限制（如限定在有限的范圍內(nèi)）。5.1.3,2.5結(jié)果判定a）如果5.1.3.2.4a）為肯定，則測(cè)評(píng)實(shí)施c）、d）、f）和g）為肯定;b）5.1.3.2.4b）-i）均為肯定，則信息系統(tǒng)符合本單元測(cè)評(píng)項(xiàng)要求。5.1.3.3 惡意代碼防范5.1.3.3.1 測(cè)評(píng)項(xiàng)a）重要業(yè)務(wù)處理服務(wù)器應(yīng)安裝實(shí)時(shí)檢測(cè)與查殺惡意代碼的軟件產(chǎn)品。5.1.3.3.2測(cè)評(píng)方式訪談,檢查。5.1.3.3.3測(cè)評(píng)對(duì)象系統(tǒng)安全員,重要服務(wù)器。5.1.3.3.4測(cè)評(píng)實(shí)施a）應(yīng)訪談系統(tǒng)安全員,詢問(wèn)主機(jī)系統(tǒng)是否采取惡意代碼實(shí)時(shí)檢測(cè)與查殺措施,惡意代碼實(shí)時(shí)檢測(cè)與查殺措施的部署情況如何;b）應(yīng)檢查重要服務(wù)器,查看是否安裝實(shí)時(shí)檢測(cè)與查殺惡意代碼的軟件產(chǎn)品（主要是防病毒產(chǎn)品）;查看實(shí)時(shí)檢測(cè)與查殺惡意代碼軟件產(chǎn)品的廠家、名稱和惡意代碼庫(kù)版本號(hào)。5.1.3.3.5結(jié)果判定a）如果5.1.3.3.4a）中惡意代碼實(shí)時(shí)檢測(cè)與查殺措施的部署包括所有重要業(yè)務(wù)處理服務(wù)器，則該項(xiàng)為肯定;b）如果5.1.3.2.4b）中的實(shí)時(shí)檢測(cè)與查殺惡意代碼軟件產(chǎn)品廠家為正規(guī)廠家，該惡意代碼庫(kù)版本較新,則該項(xiàng)為肯定;c）5.1.3.2.4a）-b）均為肯定,則信息系統(tǒng)符合本單元測(cè)評(píng)項(xiàng)要求。1.4應(yīng)用安全1.4.I 身份鑒別1.4.1.1 測(cè)評(píng)項(xiàng)a）應(yīng)對(duì)登錄應(yīng)用系統(tǒng)的用戶進(jìn)行身份標(biāo)識(shí)和鑒別；b）應(yīng)具有登錄失敗處理的功能，如結(jié)束會(huì)話、限制非法登錄次數(shù)。1.4.1.2測(cè)評(píng)方式訪談，檢查。1.4.1.3測(cè)評(píng)對(duì)象系統(tǒng)管理員，關(guān)鍵應(yīng)用系統(tǒng)。1.4.1.4測(cè)評(píng)實(shí)施a）可訪談系統(tǒng)管理員，詢問(wèn)應(yīng)用系統(tǒng)是否采取身份標(biāo)識(shí)和鑒別措施,具體措施有哪些;b）應(yīng)訪談系統(tǒng)管理員,詢問(wèn)應(yīng)用系統(tǒng)是否具有登錄失敗處理的功能，是如何進(jìn)行處理的;c）應(yīng)檢查關(guān)鍵應(yīng)用系統(tǒng),查看其是否配備身份標(biāo)識(shí)（如建立賬號(hào)）和鑒別（如口令等）功能；d）應(yīng)檢查關(guān)鍵應(yīng)用系統(tǒng)，査看其是否配備并使用登錄失敗處理功能（如限制非法登錄次數(shù)，登錄失敗次數(shù)超過(guò)設(shè)定值則結(jié)束會(huì)話等）。5.1.4,1.5結(jié)果判定a）5.1.4.1.4b）-d）均為肯定,則信息系統(tǒng)符合本單元測(cè)評(píng)項(xiàng)要求。5.1.4.2 訪問(wèn)控制5.1.4.2.1 測(cè)評(píng)項(xiàng)a）應(yīng)控制應(yīng)用系統(tǒng)用戶對(duì)系統(tǒng)功能和用戶數(shù)據(jù)的訪問(wèn)；b）應(yīng)用系統(tǒng)自主訪問(wèn)控制的粒度應(yīng)達(dá)到主體為用戶組/用戶級(jí)；c）應(yīng)由授權(quán)主體設(shè)置用戶對(duì)系統(tǒng)功能的操作和對(duì)數(shù)據(jù)訪問(wèn)的權(quán)限；d）應(yīng)嚴(yán)格限制默認(rèn)用戶的訪問(wèn)權(quán)限。5.1.4.2.2 測(cè)評(píng)方式訪談,檢查,測(cè)試。5.1.4.2.3測(cè)評(píng)對(duì)象系統(tǒng)管理員,關(guān)鍵應(yīng)用系統(tǒng),總體規(guī)劃/設(shè)計(jì)文檔。5.1.4.2.4測(cè)評(píng)實(shí)施a）可訪談系統(tǒng)管理員,詢問(wèn)業(yè)務(wù)系統(tǒng)是否提供訪問(wèn)控制措施,具體措施有哪些;b）應(yīng)檢查關(guān)鍵應(yīng)用系統(tǒng),查看系統(tǒng)是否提供訪問(wèn)控制機(jī)制;c）應(yīng)檢查關(guān)鍵應(yīng)用系統(tǒng),査看其是否有限制默認(rèn)用戶訪問(wèn)權(quán)限的功能,并已配置使用;d）應(yīng)測(cè)試關(guān)鍵應(yīng)用系統(tǒng),可通過(guò)用不同權(quán)限的用戶登錄,查看其權(quán)限是否受到應(yīng)用系統(tǒng)的限制，驗(yàn)證系統(tǒng)權(quán)限分離功能是否有效;e）應(yīng)測(cè)試關(guān)鍵應(yīng)用系統(tǒng)，可通過(guò)授權(quán)主體設(shè)置特定用戶對(duì)系統(tǒng)功能進(jìn)行操作和對(duì)數(shù)據(jù)進(jìn)行訪問(wèn)的權(quán)限,然后以該用戶登錄,驗(yàn)證用戶權(quán)限管理功能是否有效；f）應(yīng)測(cè)試關(guān)鍵應(yīng)用系統(tǒng)，可通過(guò)用默認(rèn)用戶登錄，驗(yàn)證系統(tǒng)對(duì)默認(rèn)用戶訪問(wèn)權(quán)限的限制是否有效。5.1.4.2.5 結(jié)果判定a）5.1.4.2.4b）-f）均為肯定，則信息系統(tǒng)符合本單元測(cè)評(píng)項(xiàng)要求。1.4.3通信完整性1.4.3.1測(cè)評(píng)項(xiàng)a）通信雙方應(yīng)約定通信會(huì)話的方式,在進(jìn)行通信時(shí),雙方根據(jù)會(huì)話方式判斷對(duì)方報(bào)文的有效性。1.4.3.2 測(cè)評(píng)方式訪談,檢查，測(cè)試。1.4.3.3測(cè)評(píng)對(duì)象安全員，關(guān)鍵應(yīng)用系統(tǒng),總體規(guī)劃/設(shè)計(jì)文檔。1.4.3.4測(cè)評(píng)實(shí)施a）可訪談安全員,詢問(wèn)業(yè)務(wù)系統(tǒng)數(shù)據(jù)在傳輸過(guò)程中是否有完整性保證措施,具體措施有哪些；b）應(yīng)檢查設(shè)計(jì)/驗(yàn)收文檔,查看其是否有關(guān)于系統(tǒng)是根據(jù)校驗(yàn)碼（CRC校驗(yàn)）判斷對(duì)方數(shù)據(jù)包的有效性的描述；c）應(yīng)測(cè)試關(guān)鍵應(yīng)用系統(tǒng)，可通過(guò)獲取通信雙方的數(shù)據(jù)包，查看其是否有驗(yàn)證碼。1.4,3.5 結(jié)果判定a）5.1.4.3.4b）-c）均為肯定，則信息系統(tǒng)符合本單元測(cè)評(píng)項(xiàng)要求。1.4.4 軟件容錯(cuò)1.4.4.1 測(cè)評(píng)項(xiàng)a）應(yīng)對(duì)通過(guò)人機(jī)接口輸入或通過(guò)通信接口輸入的數(shù)據(jù)進(jìn)行有效性檢驗(yàn)；b）在故障發(fā)生并中斷退出時(shí)，提供故障類型和故障發(fā)生點(diǎn)的信息。1.4.4.2 測(cè)評(píng)方式訪談，檢查，測(cè)試。1.4.4.3測(cè)評(píng)對(duì)象系統(tǒng)管理員，關(guān)犍應(yīng)用系統(tǒng)。1.4.4.4測(cè)評(píng)實(shí)施a）可訪談系統(tǒng)管理員,詢問(wèn)業(yè)務(wù)系統(tǒng)是否有保證軟件具有容錯(cuò)能力的措施（如對(duì)人機(jī)接口輸入或通過(guò)通信接口輸入的數(shù)據(jù)進(jìn)行有效性檢驗(yàn),在故障發(fā)生并中斷退出時(shí)系統(tǒng)是否提供故障類型和故障發(fā)生點(diǎn)的信息等），具體措施有哪些;b）應(yīng)檢查關(guān)鍵應(yīng)用系統(tǒng),查看業(yè)務(wù)系統(tǒng)是否有對(duì)人機(jī)接口輸入（如用戶界面的數(shù)據(jù)輸入）或通信接口輸入的數(shù)據(jù)進(jìn)行有效性檢驗(yàn)的功能;C）應(yīng)測(cè)試關(guān)鍵應(yīng)用系統(tǒng),可通過(guò)輸入的不同（如數(shù)據(jù)格式或長(zhǎng)度等符合、不符合軟件設(shè)定的要求）驗(yàn)證系統(tǒng)人機(jī)接口有效性檢驗(yàn)功能是否正確;d）應(yīng)測(cè)試關(guān)鍵應(yīng)用系統(tǒng),可通過(guò)制造ー些故障（如系統(tǒng)異常等）,查看系統(tǒng)是否提供故障類型和故障發(fā)生點(diǎn)的信息。1.4.4.5結(jié)果判定a）5.1.4.4.4b）-d）均為肯定,則信息系統(tǒng)符合本單元測(cè)評(píng)項(xiàng)要求。1.4.5 資源控制1.4.5.1 測(cè)評(píng)項(xiàng)a）應(yīng)對(duì)應(yīng)用系統(tǒng)的最大并發(fā)會(huì)話連接數(shù)進(jìn)行限制。1.4.5.2測(cè)評(píng)方式訪談,檢查,測(cè)試。1.4.5.3測(cè)評(píng)對(duì)象系統(tǒng)管理員,關(guān)鍵應(yīng)用系統(tǒng)。1.4.5.4測(cè)評(píng)實(shí)施a）可訪談系統(tǒng)管理員,詢問(wèn)業(yè)務(wù)系統(tǒng)是否有資源控制的措施（如對(duì)應(yīng)用系統(tǒng)的最大并發(fā)會(huì)話連接數(shù)進(jìn)行限制等）,具體措施有哪些；b）應(yīng)檢查關(guān)鍵應(yīng)用系統(tǒng)，查看系統(tǒng)是否有最大并發(fā)會(huì)話連接數(shù)的限制；c）應(yīng)測(cè)試關(guān)鍵應(yīng)用系統(tǒng)，可通過(guò)對(duì)系統(tǒng)用超過(guò)最大并發(fā)會(huì)話連接數(shù)進(jìn)行連接,驗(yàn)證系統(tǒng)能否正確地限制最大并發(fā)會(huì)話連接數(shù)。1.4.5.5結(jié)果判定a）5.1.4.5.4b）-c）均為肯定,則信息系統(tǒng)符合本單元測(cè)評(píng)項(xiàng)要求。1.4.6 代碼安全1.4.6.1 測(cè)評(píng)項(xiàng)a）應(yīng)対應(yīng)用程序進(jìn)行惡意代碼掃描，確認(rèn)不存在惡意代碼。1.4.6.2測(cè)評(píng)方式訪談,檢查。1.4.6.3測(cè)評(píng)對(duì)象相關(guān)證明材料，關(guān)鍵應(yīng)用系統(tǒng)。1.4.6.4測(cè)評(píng)實(shí)施a）可訪談系統(tǒng)管理員，詢問(wèn)業(yè)務(wù)系統(tǒng)是否有保證質(zhì)量的措施（如系統(tǒng)是否有程序編寫安全規(guī)范,開發(fā)人員是否參照規(guī)范編寫代碼）,具體措施有哪些；b）應(yīng)檢查設(shè)計(jì)/驗(yàn)收文檔和相關(guān)證明材料（證書）,查看是否有對(duì)應(yīng)用程序進(jìn)行惡意代碼掃描,確認(rèn)不存在惡意代碼的聲明；c）應(yīng)檢查關(guān)鍵應(yīng)用系統(tǒng),查看代碼的編制是否符合代碼安全規(guī)范的要求。1.4,6.5結(jié)果判定a）5.1.4.6.4b）-c）均為肯定,則信息系統(tǒng)符合本單元測(cè)評(píng)項(xiàng)要求。5.1.5數(shù)據(jù)安全1.5.1 數(shù)據(jù)完整性1.5.1.1 測(cè)評(píng)項(xiàng)a）應(yīng)能夠檢測(cè)到系統(tǒng)管理數(shù)據(jù)、鑒別信息和用戶數(shù)據(jù)在傳輸過(guò)程中完整性受到破壞;b）應(yīng)能夠檢測(cè)到系統(tǒng)管理數(shù)據(jù)、鑒別信息和用戶數(shù)據(jù)在存儲(chǔ)過(guò)程中未授權(quán)的修改與破壞。5.1.5.1.2測(cè)評(píng)方式訪談,檢查。5.1.5.1.3測(cè)評(píng)對(duì)象安全員,關(guān)鍵應(yīng)用系統(tǒng),設(shè)計(jì)/驗(yàn)收文檔,相關(guān)證明性材料（如證書、檢驗(yàn)報(bào)告等）。5.1.5.1.4測(cè)評(píng)實(shí)施a）應(yīng)訪談安全員,詢問(wèn)業(yè)務(wù)系統(tǒng)數(shù)據(jù)在傳輸和存儲(chǔ)過(guò)程中是否有完整性保證措施,具體措施有哪些;b）應(yīng)檢查操作系統(tǒng)、網(wǎng)絡(luò)設(shè)備、數(shù)據(jù)庫(kù)管理系統(tǒng)的設(shè)計(jì)/驗(yàn)收文檔或相關(guān)證明性材料（如證書、檢驗(yàn)報(bào)告等）等,查看其是否能檢測(cè)/驗(yàn)證到系統(tǒng)管理數(shù)據(jù)（如WINDOWS域管理、目錄管理數(shù)據(jù)）、鑒別信息（如用戶名和口令）和用戶數(shù)據(jù)（如用戶數(shù)據(jù)文件）在傳輸過(guò)程中完整性受到破壞;能否檢測(cè)/驗(yàn)證到系統(tǒng)管理數(shù)據(jù)（如WINDOWS注冊(cè)表、系統(tǒng)文件）、身份鑒別信息（如用戶名和口令存儲(chǔ)文件）和用戶數(shù)據(jù)（如用戶數(shù)據(jù)文件）在存儲(chǔ)過(guò)程中未授權(quán)的修改與破壞；如果有相關(guān)信息，查看其配置是否正確;c）應(yīng)檢查關(guān)鍵應(yīng)用系統(tǒng)，查看其是否配備檢測(cè)/驗(yàn)證系統(tǒng)管理數(shù)據(jù)、鑒別信息和用戶數(shù)據(jù)在傳輸過(guò)程中完整性受到破壞的功能:是否配備檢測(cè)/驗(yàn)證系統(tǒng)管理數(shù)據(jù)、身份鑒別信息和用戶數(shù)據(jù)在存儲(chǔ)過(guò)程中未授權(quán)修改與破壞的功能。5.1,5,1.5結(jié)果判定a）如果5.1.5.1.4b）缺少相關(guān)材料，則該項(xiàng)為否定；b）5.1.5.1.4a）-c）均為肯定，則信息系統(tǒng)符合本單元測(cè)評(píng)項(xiàng)要求。1.5.2數(shù)據(jù)保密性1.5.2.1測(cè)評(píng)項(xiàng)a）網(wǎng)絡(luò)設(shè)備、操作系統(tǒng)、數(shù)據(jù)庫(kù)管理系統(tǒng)和應(yīng)用系統(tǒng)應(yīng)能防止對(duì)身份鑒別信息的未授權(quán)的訪問(wèn)。1.5.2.2測(cè)評(píng)方式訪談，檢查。1.5.2.3測(cè)評(píng)對(duì)象系統(tǒng)管理員、網(wǎng)絡(luò)管理員、安全員、數(shù)據(jù)庫(kù)管理員，操作系統(tǒng)，網(wǎng)絡(luò)設(shè)備,數(shù)據(jù)庫(kù)管理系統(tǒng),關(guān)鍵應(yīng)用系統(tǒng)，設(shè)計(jì)/驗(yàn)收文檔。1.5.2.4測(cè)評(píng)實(shí)施a）可訪談網(wǎng)絡(luò)管理員，詢問(wèn)信息系統(tǒng)中的網(wǎng)絡(luò)設(shè)備能否防止身份鑒別信息（如用戶名和口令）在傳輸過(guò)程中未授權(quán)的訪問(wèn);b）可訪談系統(tǒng)管理員，詢問(wèn)信息系統(tǒng)中的操作系統(tǒng)能否防止身份鑒別信息（如用戶名和口令）在傳輸過(guò)程中未授權(quán)的訪問(wèn);c）可訪談數(shù)據(jù)庫(kù)管理員,詢問(wèn)信息系統(tǒng)中的數(shù)據(jù)庫(kù)管理系統(tǒng)能否防止身份鑒別信息（如用戶名和口令）在傳輸過(guò)程中未授權(quán)的訪問(wèn)；d）可訪談安全員，詢問(wèn)信息系統(tǒng)中的應(yīng)用系統(tǒng)能否防止身份鑒別信息（如用戶名和口令）在傳輸過(guò)程中未授權(quán)的訪問(wèn)；e）應(yīng)檢査操作系統(tǒng)、網(wǎng)絡(luò)設(shè)備、數(shù)據(jù)庫(kù)管理系統(tǒng)、關(guān)鍵應(yīng)用系統(tǒng)設(shè)計(jì)/驗(yàn)收文檔，查看其是否有防止身份鑒別信息（如用戶名和口令）在傳輸過(guò)程中未授權(quán)的訪問(wèn)的描述；f）應(yīng)檢查關(guān)鍵應(yīng)用系統(tǒng)，查看其是否配備防止身份鑒別信息（如用戶名和口令）在傳輸過(guò)程中未授權(quán)訪問(wèn)的功能。5.1.5.2.5結(jié)果判定a）如果缺少設(shè)計(jì)/驗(yàn)收文檔,5.1.5.2.4e）為否定;b）5.1.5.2.4e）-f）均為肯定,則信息系統(tǒng)符合本單元測(cè)評(píng)項(xiàng)要求。5.1,5.3數(shù)據(jù)備份和恢復(fù)5.1.5.3.1測(cè)評(píng)項(xiàng)a）應(yīng)提供用戶有選擇的備份和恢復(fù)重要信息的功能。5.1.5.3.2測(cè)評(píng)方式訪談,檢查。5.1.5.3.3測(cè)評(píng)對(duì)象系統(tǒng)管理員、網(wǎng)絡(luò)管理員、安全員、數(shù)據(jù)庫(kù)管理員,關(guān)鍵應(yīng)用系統(tǒng),操作系統(tǒng)、網(wǎng)絡(luò)設(shè)備、數(shù)據(jù)庫(kù)管理系統(tǒng)、關(guān)鍵應(yīng)用系統(tǒng)。5.1.5.3.4測(cè)評(píng)實(shí)施a）可訪談網(wǎng)絡(luò)管理員,詢問(wèn)信息系統(tǒng)中的網(wǎng)絡(luò)設(shè)備是否具有對(duì)重要數(shù)據(jù)進(jìn)行備份的功能,配置如何:是否提供對(duì)重要信息進(jìn)行恢復(fù)的功能;b）可訪談系統(tǒng)管理員,詢問(wèn)信息系統(tǒng)中的操作系統(tǒng)是否具有對(duì)重要數(shù)據(jù)進(jìn)行備份的功能，配置如何:是否提供對(duì)重要信息進(jìn)行恢復(fù)的功能;c）可訪談數(shù)據(jù)庫(kù)管理員，詢問(wèn)信息系統(tǒng)中的數(shù)據(jù)庫(kù)管理系統(tǒng)是否具有對(duì)重要數(shù)據(jù)進(jìn)行備份的功能,配置如何;是否提供對(duì)重要信息進(jìn)行恢復(fù)的功能；d）可訪談安全員，詢問(wèn)信息系統(tǒng)中的業(yè)務(wù)系統(tǒng)是否具有對(duì)重要數(shù)據(jù)進(jìn)行備份的功能,配置如何;是否提供對(duì)重要信息進(jìn)行恢変的功能;e）應(yīng)檢査操作系統(tǒng)、網(wǎng)絡(luò)設(shè)備、數(shù)據(jù)庫(kù)管理系統(tǒng)、關(guān)鍵應(yīng)用系統(tǒng),查看其是否配置有選擇的備份和恢復(fù)重要信息恢復(fù)的功能,其配置是否正確。5.1.5,3.5結(jié)果判定a）5.1.5.3.4e）為肯定，則信息系統(tǒng)符合本單元測(cè)評(píng)項(xiàng)要求。2安全管理測(cè)評(píng)2.1安全管理機(jī)構(gòu)2.1,1崗位設(shè)置2.1.1.1測(cè)評(píng)項(xiàng)a）應(yīng)設(shè)立系統(tǒng)管理人員、網(wǎng)絡(luò)管理人員、安全管理人員崗位，定義各個(gè)工作崗位的職1.1.2測(cè)評(píng)方式訪談,檢查。1.1.3測(cè)評(píng)對(duì)象安全主管，崗位職責(zé)分エ文檔。1.1.4測(cè)評(píng)實(shí)施a）應(yīng)訪談安全主管，詢問(wèn)信息系統(tǒng)設(shè)置了哪些工作崗位（如機(jī)房管理員、系統(tǒng)管理員、網(wǎng)絡(luò)管理員、安全員等重要崗位），是否明確各個(gè)崗位的職責(zé)分エ；b）應(yīng)檢查崗位職責(zé)分エ文檔,查看定義的各個(gè)崗位職責(zé)是否包括機(jī)房管理員、系統(tǒng)管理員、網(wǎng)絡(luò)管理員、安全員等重要崗位，各個(gè)崗位的職責(zé)范圍是否清晰、明確。1,1.5結(jié)果判定a）5.2.1.1.4a）-b）均為肯定，則信息系統(tǒng)符合本單元測(cè)評(píng)項(xiàng)要求。5.2.1.2 人員配備5.2.1.2.1測(cè)評(píng)項(xiàng)a）應(yīng)配備ー定數(shù)量的系統(tǒng)管理人員、網(wǎng)絡(luò)管理人員、安全管理人員,各個(gè)崗位的人員可以兼任。5.2.1.2.2測(cè)評(píng)方式訪談,檢查。5.2.1.2.3測(cè)評(píng)對(duì)象安全主管,管理人員名單。1.2.4測(cè)評(píng)實(shí)施a）應(yīng)訪談安全主管,詢問(wèn)各個(gè)安全管理崗位人員配備情況（按照崗位職責(zé)文件詢問(wèn),包括機(jī)房管理員、系統(tǒng)管理員、網(wǎng)絡(luò)管理員和安全員等重要崗位人員）,包括數(shù)量、專職還是兼職等;b）應(yīng)檢查安全管理人員名單,查看其是否明確機(jī)房管理員、系統(tǒng)管理員、網(wǎng)絡(luò)管理員和安全員等重要崗位人員的信息。2.1.2.5結(jié)果判定a）5.2.1.2.4a）-b）均為肯定,則信息系統(tǒng)符合本單元測(cè)評(píng)項(xiàng)要求。5.2.1.3授權(quán)和審批5.2.1.3.1測(cè)評(píng)項(xiàng)a）應(yīng)授權(quán)審批部門及批準(zhǔn)人,對(duì)網(wǎng)絡(luò)、應(yīng)用、系統(tǒng)等重要資源的訪問(wèn)等關(guān)鍵活動(dòng)進(jìn)行審批。5.2.1.3.2測(cè)評(píng)方式訪談,檢查。2.1.3.3測(cè)評(píng)對(duì)象安全主管,關(guān)鍵活動(dòng)的批準(zhǔn)人,審批文檔。1.3.4測(cè)評(píng)實(shí)施a）應(yīng)訪談安全主管，詢問(wèn)其是否需要對(duì)信息系統(tǒng)中的關(guān)鍵活動(dòng)進(jìn)行審批，審批部門是何部門,批準(zhǔn)人是何人，他們的審批活動(dòng)是否得到授權(quán);b）應(yīng)訪談關(guān)鍵活動(dòng)的批準(zhǔn)人,詢問(wèn)其對(duì)關(guān)鍵活動(dòng)的審批范圍包括哪些（如網(wǎng)絡(luò)系統(tǒng)、應(yīng)用系統(tǒng)、數(shù)據(jù)庫(kù)管理系統(tǒng)、重要服務(wù)器和設(shè)備等重要資源的訪問(wèn)）,審批程序如何;c）應(yīng)檢查經(jīng)審批的文檔，査看是否具有批準(zhǔn)人的簽字或?qū)徟块T的蓋章。2.1,3.5結(jié)果判定a）5.2.1.3.4a）-c）均為肯定，則信息系統(tǒng)符合本單元測(cè)評(píng)項(xiàng)要求。5.2,1,4 溝通和合作5.2.1.4.1測(cè)評(píng)項(xiàng)a）應(yīng)加強(qiáng)各類管理人員和組織內(nèi)部機(jī)構(gòu)之間的合作與溝通，定期或不定期召開協(xié)調(diào)會(huì)議，共同協(xié)助處理信息安全問(wèn)題。5.2.1.4.2測(cè)評(píng)方式訪談,檢查。1.4.3測(cè)評(píng)對(duì)象安全主管，安全管理人員，協(xié)調(diào)會(huì)議文件或會(huì)議記錄。1.4.4測(cè)評(píng)實(shí)施a）應(yīng)訪談安全主管,詢問(wèn)與組織機(jī)構(gòu)內(nèi)其他部門之間有哪些合作內(nèi)容,溝通、合作方式有哪些，是否召開過(guò)部門間協(xié)調(diào)會(huì)議，組織其它部門人員共同協(xié)助處理信息系統(tǒng)安全有關(guān)問(wèn)題,會(huì)議結(jié)果如何:b）應(yīng)訪談安全管理人員（從系統(tǒng)管理員和安全員等人員中抽查），詢問(wèn)其與組織機(jī)構(gòu)內(nèi)其他部門人員，與內(nèi)部其他管理人員之間的溝通方式和主要溝通內(nèi)容有哪些;c）應(yīng)檢查部門間協(xié)調(diào)會(huì)議文件或會(huì)議記錄，查看是否有會(huì)議內(nèi)容、會(huì)議時(shí)間、參加人員、會(huì)議結(jié)果等的描述。1.4.5結(jié)果判定a）5.2.1.4.4a）-c）均為肯定,則信息系統(tǒng)符合本單元測(cè)評(píng)項(xiàng)要求。5.2.2安全管理制度5.2.2.1管理制度5.2.2.1.1測(cè)評(píng)項(xiàng)a）應(yīng)制定信息安全工作的總體方針、政策性文件和安全策略等，說(shuō)明機(jī)構(gòu)安全工作的總體目標(biāo)、范圍、方針、原則、責(zé)任等；b）應(yīng)建立日常管理活動(dòng)中常用的安全管理制度，以規(guī)范安全管理活動(dòng)，約束人員的行為。1.2測(cè)評(píng)方式訪談，檢查。1.3測(cè)評(píng)對(duì)象安全主管，總體方針、政策性文件和安全策略文件，安全管理制度清單。1.4測(cè)評(píng)實(shí)施a）應(yīng)訪談安全主管,詢問(wèn)是否制定信息安全工作的總體方針、政策性文件和安全策略,是否制定安全管理制度規(guī)范日常管理活動(dòng)；b）應(yīng)檢查總體方針、政策性文件和安全策略文件，查看文件是否明確機(jī)構(gòu)安全工作的總體目標(biāo)、范圍、方針、原則、責(zé)任等；c）應(yīng)檢查安全管理制度清單，查看是否覆蓋物理、網(wǎng)絡(luò)、主機(jī)系統(tǒng)、數(shù)據(jù)、應(yīng)用和管理等層面。1.5結(jié)果判定a）5.2.2.1.4a）-c）均為肯定，則信息系統(tǒng)符合本單元測(cè)評(píng)項(xiàng)要求。2,2.2 制定和發(fā)布2.2.2.1測(cè)評(píng)項(xiàng)a）應(yīng)授權(quán)或指定專門的人員負(fù)責(zé)制定安全管理制度；b）應(yīng)組織相關(guān)人員對(duì)制定的安全管理進(jìn)行論證和審定;c）安全管理制度應(yīng)以某種方式發(fā)布到相關(guān)人員手中。2.2.2.2測(cè)評(píng)方式訪談,檢查。2.2.2.3測(cè)評(píng)對(duì)象安全主管,管理人員,評(píng)審記錄。2.2.2.4測(cè)評(píng)實(shí)施a）應(yīng)訪談安全主管,詢問(wèn)是否有專人負(fù)責(zé)制訂安全管理制度，負(fù)責(zé)人是何人;b）應(yīng)訪談管理人員（負(fù)責(zé)制定管理制度的人員），詢問(wèn)安全管理制度的制定程序，是否對(duì)制定的安全管理制度進(jìn)行論證和審定，論證和審定方式如何（如召開評(píng)審會(huì)、函審、內(nèi)部審核等）,發(fā)布方式有哪些；c）應(yīng)檢查管理制度評(píng)審記錄,查看是否具有相關(guān)人員的評(píng)審意見。2.2.2.5結(jié)果判定a）5.2.2.2.4a）-c）均為肯定,則信息系統(tǒng)符合本單元測(cè)評(píng)項(xiàng)要求。5.2.3人員安全管理2.3.1 人員錄用2.3.1.1測(cè)評(píng)項(xiàng)a）應(yīng)保證被錄用人具備基本的專業(yè)技術(shù)水平和安全管理知識(shí);b）應(yīng)對(duì)被錄用人的身份和專業(yè)資格等進(jìn)行審査;c）應(yīng)對(duì)被錄用人說(shuō)明其角色和職責(zé)。5.2.3.1.2測(cè)評(píng)方式訪談,檢查。5.2.3.1.3測(cè)評(píng)對(duì)象人事負(fù)責(zé)人,人事工作人員,人員錄用要求管理文檔,人員審查文檔或記錄。5.2.3.1.4測(cè)評(píng)實(shí)施a）應(yīng)訪談人事負(fù)責(zé)人，詢問(wèn)在人員錄用時(shí)對(duì)人員條件有哪些要求，目前錄用的安全管理和技術(shù)人員是否有能力完成與其職責(zé)相對(duì)應(yīng)的工作:b）應(yīng)訪談人事工作人員，詢問(wèn)在人員錄用時(shí)是否對(duì)被錄用人的身份和專業(yè)資格進(jìn)行證實(shí)，錄用后是否對(duì)其說(shuō)明工作職責(zé);c）應(yīng)檢查人員錄用要求管理文檔，查看是否說(shuō)明錄用人員應(yīng)具備的條件，如學(xué)歷、學(xué)位要求,技術(shù)人員應(yīng)具備的專業(yè)技術(shù)水平,管理人員應(yīng)具備的安全管理知識(shí)等;d）應(yīng)檢查是否具有人員錄用時(shí)對(duì)錄用人身份、專業(yè)資格等進(jìn)行審查的相關(guān)文檔或記錄，查看是否記錄審查內(nèi)容和審查結(jié)果等。5.2.3,1.5結(jié)果判定a）5.2.3.1.4a）-d）均為肯定,則信息系統(tǒng)符合本單元測(cè)評(píng)項(xiàng)要求。2.3.2 人員離崗2.3.2.1測(cè)評(píng)項(xiàng)a）應(yīng)立即終止由于各種原因即將離崗的員エ的所有訪問(wèn)權(quán)限;b）應(yīng)取回各種身份證件、鑰匙、徽章等以及機(jī)構(gòu)提供的軟硬件設(shè)備。5.2.3.2.2測(cè)評(píng)方式訪談,檢查。5.2.3.2.3測(cè)評(píng)對(duì)象安全主管，安全處理記錄。5.2.3.2.4測(cè)評(píng)實(shí)施a）應(yīng)訪談安全主管，詢問(wèn)是否及時(shí)終止離崗人員所有訪問(wèn)權(quán)限,取回各種身份證件、鑰匙、徽章等以及機(jī)構(gòu)提供的軟硬件設(shè)備等；b）應(yīng)檢查是否具有對(duì)離崗人員的安全處理記錄，如交還身份證件、設(shè)備等的登記記錄。3,2.5結(jié)果判定a）5.2.3.2.4a）-b）均為肯定,則信息系統(tǒng)符合本單元測(cè)評(píng)項(xiàng)要求。5.2.3.3安全意識(shí)教育和培訓(xùn)5.2.3.3.1測(cè)評(píng)項(xiàng)a）應(yīng)對(duì)各類人員進(jìn)行安全意識(shí)教育；b）應(yīng)告知人員相關(guān)的安全責(zé)任和懲戒措施。5.2.3.3.2測(cè)評(píng)方式訪談。5.2.3.3.3 測(cè)評(píng)對(duì)象安全主管,安全員。5.2.3.3.4 測(cè)評(píng)實(shí)施a）應(yīng)訪談安全主管,詢問(wèn)是否對(duì)各個(gè)崗位人員進(jìn)行安全教育,告知相關(guān)的安全知識(shí)、安全責(zé)任和懲戒措施，以什么形式進(jìn)行,效果如何:b）應(yīng)訪談安全員，考查其對(duì)工作相關(guān)的信息安全基礎(chǔ)知識(shí)、安全責(zé)任和懲戒措施等的理解程度。5.2,3,3,5結(jié)果判定a）如果5.2.3.3.4b）訪談人員能夠表述清楚詢問(wèn)內(nèi)容，且安全職責(zé)和懲戒措施表述與文件描述一致，則該項(xiàng)為肯定;b）5.2.3.3.4a）-b）均為肯定，則信息系統(tǒng)符合本單元測(cè)評(píng)項(xiàng)要求。2.3.4第三方人員訪問(wèn)管理2.3.4.1測(cè)評(píng)項(xiàng)a）第三方人員應(yīng)在訪問(wèn)前與機(jī)構(gòu)簽署安全責(zé)任合同書或保密協(xié)議。2.3.4.2測(cè)評(píng)方式訪談，檢查。2.3.4.3 測(cè)評(píng)對(duì)象安全主管，安全責(zé)任合同書或保密協(xié)議。2.3.4.4 測(cè)評(píng)實(shí)施a）應(yīng)訪談安全主管，詢問(wèn)對(duì)第三方人員（如向系統(tǒng)提供服務(wù)的系統(tǒng)軟、硬件維護(hù)人員,業(yè)務(wù)合作伙伴等）的訪問(wèn)采取哪些管理措施,是否要求第三方人員訪問(wèn)前與機(jī)構(gòu)簽署安全責(zé)任合同書或保密協(xié)議;b）應(yīng)檢査安全責(zé)任合同書或保密協(xié)議，査看是否有保密范圍、保密責(zé)任、違約責(zé)任、協(xié)議的有效期限和責(zé)任人的簽字等。2.3,4.5結(jié)果判定a）5.2.3.4.4a）-b）均為肯定，則信息系統(tǒng)符合本單元測(cè)評(píng)項(xiàng)要求。5.2.4系統(tǒng)建設(shè)管理5.2.4.1系統(tǒng)定級(jí)5.2.4.1.1測(cè)評(píng)項(xiàng)a）應(yīng)明確信息系統(tǒng)劃分的方法；b）應(yīng)確定信息系統(tǒng)的安全保護(hù)等級(jí)；c）應(yīng)以書面的形式定義確定了安全保護(hù)等級(jí)的信息系統(tǒng)的屬性，包括使命、業(yè)務(wù)、網(wǎng)絡(luò)、硬件、軟件、數(shù)據(jù)、邊界、人員等；d）應(yīng)確保信息系統(tǒng)的定級(jí)結(jié)果經(jīng)過(guò)相關(guān)部門的批準(zhǔn)。5.2.4.1.2測(cè)評(píng)方式訪談,檢查。5.2.4.1.3 測(cè)評(píng)對(duì)象安全主管，系統(tǒng)劃分文檔，系統(tǒng)定級(jí)文檔,系統(tǒng)屬性說(shuō)明文檔。1.4 測(cè)評(píng)實(shí)施a）應(yīng)訪談安全主管,詢問(wèn)劃分信息系統(tǒng)的方法和確定信息系統(tǒng)安全保護(hù)等級(jí)的方法是否參照定級(jí)指南的指導(dǎo)，是否對(duì)其進(jìn)行明確描述;定級(jí)結(jié)果是否獲得了相關(guān)部門（如上級(jí)主管部門）的批準(zhǔn)；b）應(yīng)檢查系統(tǒng)劃分相關(guān)文檔，查看文檔是否明確描述信息系統(tǒng)劃分的方法和理由;c）應(yīng)檢查系統(tǒng)定級(jí)文檔,查看文檔是否給出信息系統(tǒng)的安全保護(hù)等級(jí),查看定級(jí)結(jié)果是否有相關(guān)部門的批準(zhǔn)蓋章;d）應(yīng)檢查系統(tǒng)屬性說(shuō)明文檔,查看文檔是否明確了系統(tǒng)使命、業(yè)務(wù)、網(wǎng)絡(luò)、硬件、軟件、數(shù)據(jù)、邊界、人員等。1.5結(jié)果判定5.2.4.1.4b）沒(méi)有上級(jí)主管部門的,如果有安全主管的批準(zhǔn),則該項(xiàng)為肯定;5.2.4.1.4a）-d）均為肯定，則信息系統(tǒng)符合本單元測(cè)評(píng)項(xiàng)要求。5.2.4.2安全方案設(shè)計(jì)5.2.4.2.1測(cè)評(píng)項(xiàng)a）應(yīng)根據(jù)系統(tǒng)的安全級(jí)別選擇基本安全措施，依據(jù)風(fēng)險(xiǎn)分析的結(jié)果補(bǔ)充和調(diào)整安全措施；b）應(yīng)以書面的形式描述對(duì)系統(tǒng)的安全保護(hù)要求和策略、安全措施等內(nèi)容,形成系統(tǒng)的安全方案;c）應(yīng)對(duì)安全方案進(jìn)行細(xì)化，形成能指導(dǎo)安全系統(tǒng)建設(shè)和安全產(chǎn)品采購(gòu)的詳細(xì)設(shè)計(jì)方案。2.4.2.2測(cè)評(píng)方式訪談，檢查。2.4.2.3測(cè)評(píng)對(duì)象系統(tǒng)建設(shè)負(fù)責(zé)人，安全方案，詳細(xì)設(shè)計(jì)方案。2.4.2.4測(cè)評(píng)實(shí)施a）應(yīng)訪談系統(tǒng)建設(shè)負(fù)責(zé)人,詢問(wèn)是否根據(jù)系統(tǒng)的安全級(jí)別選擇基本安全措施,是否依據(jù)風(fēng)險(xiǎn)分析的結(jié)果補(bǔ)充和調(diào)整安全措施,做過(guò)哪些調(diào)整；b）應(yīng)訪談系統(tǒng)建設(shè)負(fù)責(zé)人,詢問(wèn)系統(tǒng)選擇和調(diào)整基本安全措施是否依據(jù)系統(tǒng)安全級(jí)別和風(fēng)險(xiǎn)分析的結(jié)果；c）應(yīng)訪談系統(tǒng)建設(shè)負(fù)責(zé)人，詢問(wèn)是否制定系統(tǒng)的安全方案并根據(jù)安全方案制定出系統(tǒng)詳細(xì)設(shè)計(jì)方案指導(dǎo)安全系統(tǒng)建設(shè)和安全產(chǎn)品采購(gòu);d）應(yīng)檢查系統(tǒng)的安全方案,查看方案是否描述系統(tǒng)的安全保護(hù)要求，是否詳細(xì)描述了系統(tǒng)的安全策略，是否詳細(xì)描述了系統(tǒng)對(duì)應(yīng)的安全措施等內(nèi)容；e）應(yīng)檢查系統(tǒng)的詳細(xì)設(shè)計(jì)方案,查看詳細(xì)設(shè)計(jì)方案是否對(duì)應(yīng)安全方案進(jìn)行細(xì)化,是否有安全建設(shè)方案和安全產(chǎn)品采購(gòu)方案。2.4,2.5結(jié)果判定a）.4a）-e）均為肯定，則信息系統(tǒng)符合本單元測(cè)評(píng)項(xiàng)要求。2.4.3產(chǎn)品采購(gòu)2.4.3.1測(cè)評(píng)項(xiàng)a）應(yīng)確保安全產(chǎn)品的使用符合國(guó)家的有關(guān)規(guī)定。2.4.3.2測(cè)評(píng)方式訪談。2.4.3.3測(cè)評(píng)對(duì)象系統(tǒng)建設(shè)負(fù)責(zé)人。2.4.3.4測(cè)評(píng)實(shí)施a）應(yīng)訪談系統(tǒng)建設(shè)負(fù)責(zé)人，詢問(wèn)系統(tǒng)信息安全產(chǎn)品的采購(gòu)情況,是否有相關(guān)要求，是否有產(chǎn)品采購(gòu)清單指導(dǎo)產(chǎn)品采購(gòu)，采購(gòu)過(guò)程如何控制;b）應(yīng)訪談系統(tǒng)建設(shè)負(fù)責(zé)人,詢問(wèn)系統(tǒng)使用的有關(guān)信息安全產(chǎn)品（邊界安全設(shè)備、重要服務(wù)器操作系統(tǒng)、數(shù)據(jù)庫(kù)等）是否符合國(guó)家的有關(guān)規(guī)定。2.4.3.5結(jié)果判定a）5.2.4.3.4b）為肯定,則信息系統(tǒng)符合本單元測(cè)評(píng)項(xiàng)要求。2.4.4自行軟件開發(fā)2.4.4.1測(cè)評(píng)項(xiàng)a）應(yīng)確保開發(fā)環(huán)境與實(shí)際運(yùn)行環(huán)境物理分開;b）應(yīng)確保系統(tǒng)開發(fā)文檔由專人負(fù)責(zé)保管,系統(tǒng)開發(fā)文檔的使用受到控制。2.4.4.2測(cè)評(píng)方式訪談，檢查。2.4.4.3測(cè)評(píng)對(duì)象系統(tǒng)建設(shè)負(fù)責(zé)人,文檔使用控制記錄。2.4.4.4測(cè)評(píng)實(shí)施a）應(yīng)訪談系統(tǒng)建設(shè)負(fù)責(zé)人,詢問(wèn)系統(tǒng)是否自主開發(fā)軟件，自主開發(fā)是否有相應(yīng)的控制措施，是否在獨(dú)立的模擬環(huán)境中編寫、調(diào)試和完成;b）應(yīng)訪談系統(tǒng)建設(shè)負(fù)責(zé)人，詢問(wèn)系統(tǒng)開發(fā)文檔是否由專人負(fù)責(zé)保管,負(fù)責(zé)人是何人，如何控制使用（如限制使用人員范圍并做使用登記等）；c）應(yīng)檢查軟件開發(fā)環(huán)境與系統(tǒng)運(yùn)行環(huán)境在物理上是否是分開的；d）應(yīng)檢查是否具有系統(tǒng)開發(fā)文檔的使用控制記錄。2.4.4.5結(jié)果判定a）.4a）-d）均為肯定，則信息系統(tǒng)符合本單元測(cè)評(píng)項(xiàng)要求。2.4.5外包軟件開發(fā)2.4.5.1測(cè)評(píng)項(xiàng)a）應(yīng)與軟件開發(fā)單位簽訂協(xié)議，明確知識(shí)產(chǎn)權(quán)的歸屬和安全方面的要求；b）應(yīng)根據(jù)協(xié)議的要求檢測(cè)軟件質(zhì)量;c）應(yīng)在軟件安裝之前檢測(cè)軟件包中可能存在的惡意代碼。2.4.5.2測(cè)試方法訪談,檢查。2.4.5.3測(cè)試對(duì)象系統(tǒng)建設(shè)負(fù)責(zé)人,軟件開發(fā)協(xié)議。2.4.5.4測(cè)評(píng)實(shí)施a）應(yīng)訪談系統(tǒng)建設(shè)負(fù)責(zé)人，詢問(wèn)在外包軟件前是否對(duì)軟件開發(fā)單位以書面形式（如軟件開發(fā)安全協(xié)議）規(guī)范軟件開發(fā)單位的責(zé)任、開發(fā)過(guò)程中的安全行為、開發(fā)環(huán)境要求和軟件質(zhì)量等相關(guān)內(nèi)容；b）應(yīng)訪談系統(tǒng)建設(shè)負(fù)責(zé)人,詢問(wèn)軟件交付前是否對(duì)軟件功能和性能等進(jìn)行驗(yàn)收檢測(cè),軟件安裝之前是否檢測(cè)軟件中的惡意代碼，檢測(cè)工具是否是第三方的商業(yè)產(chǎn)品；c）應(yīng)檢查軟件開發(fā)協(xié)議是否規(guī)定知識(shí)產(chǎn)權(quán)歸屬、安全行為等內(nèi)容。2.4,5.5結(jié)果判定a）5.2.4.5.4a）-c）均為肯定,則信息系統(tǒng)符合本單元測(cè)評(píng)項(xiàng)要求。2.4.6工程實(shí)施2.4.6.1測(cè)評(píng)項(xiàng)a）應(yīng)與工程實(shí)施單位簽訂與安全相關(guān)的協(xié)議，約束工程實(shí)施單位的行為。2.4.6.2測(cè)試方法訪談，檢查。2.4.6.3測(cè)試對(duì)象系統(tǒng)建設(shè)負(fù)責(zé)人,工程安全建設(shè)協(xié)議。2.4.6.4測(cè)評(píng)實(shí)施a）應(yīng)訪談系統(tǒng)建設(shè)負(fù)責(zé)人,詢問(wèn)是否以書面形式（如工程安全建設(shè)協(xié)議）約束工程實(shí)施方的工程實(shí)施行為;b）應(yīng)檢查工程安全建設(shè)協(xié)議,査看其內(nèi)容是否覆蓋工程實(shí)施方的責(zé)任、任務(wù)要求和質(zhì)量要求等方面內(nèi)容,約束工程實(shí)施行為。2.4.6.5結(jié)果判定a）5.2.4.6.4a）-b）均為肯定，則信息系統(tǒng)符合本單元測(cè)評(píng)項(xiàng)要求。2.4.7 測(cè)試驗(yàn)收2.4.7.1測(cè)評(píng)項(xiàng)a）應(yīng)對(duì)系統(tǒng)進(jìn)行安全性測(cè)試驗(yàn)收:b）應(yīng)在測(cè)試驗(yàn)收前根據(jù)設(shè)計(jì)方案或合同要求等制訂測(cè)試驗(yàn)收方案，測(cè)試驗(yàn)收過(guò)程中詳細(xì)記錄測(cè)試驗(yàn)收結(jié)果，形成測(cè)試驗(yàn)收?qǐng)?bào)告;c）應(yīng)組織相關(guān)部門和相關(guān)人員對(duì)系統(tǒng)測(cè)試驗(yàn)收?qǐng)?bào)告進(jìn)行審定，沒(méi)有疑問(wèn)后由雙方簽字。5.2.4.7.2測(cè)試方法訪談，檢查。5.2.4.7.3測(cè)試對(duì)象系統(tǒng)建設(shè)負(fù)責(zé)人，系統(tǒng)測(cè)試方案，系統(tǒng)測(cè)試記錄，系統(tǒng)測(cè)試報(bào)告,系統(tǒng)驗(yàn)收?qǐng)?bào)告。5.2.4.7.4測(cè)評(píng)實(shí)施a）應(yīng)訪談系統(tǒng)建設(shè)負(fù)責(zé)人，詢問(wèn)在信息系統(tǒng)正式運(yùn)行前，是否對(duì)信息系統(tǒng)進(jìn)行獨(dú)立的安全性測(cè)試;b）應(yīng)訪談系統(tǒng)建設(shè)負(fù)責(zé)人,詢問(wèn)是否對(duì)測(cè)試過(guò)程（包括測(cè)試前、測(cè)試中和測(cè)試后）進(jìn)行文檔化要求,是否對(duì)測(cè)試報(bào)告進(jìn)行符合性審定;c）應(yīng)檢查工程測(cè)試方案，查看其是否對(duì)參與測(cè)試部門、人員和現(xiàn)場(chǎng)操作過(guò)程等進(jìn)行要求；查看測(cè)試記錄是否詳細(xì)記錄了測(cè)試時(shí)間、人員、現(xiàn)場(chǎng)操作過(guò)程和測(cè)試結(jié)果等方面內(nèi)容;查看測(cè)試報(bào)告是否提出存在問(wèn)題及改進(jìn)意見等;d）應(yīng)檢查是否具有系統(tǒng)驗(yàn)收?qǐng)?bào)告。5.2.4.7.5結(jié)果判定a）5.2.4.7.4a）-d）均為肯定，則信息系統(tǒng)符合本單元測(cè)評(píng)項(xiàng)要求。2.4.8 系統(tǒng)交付2.4.8.1測(cè)評(píng)項(xiàng)a）應(yīng)明確系統(tǒng)的交接手續(xù),并按照交接手續(xù)完成交接工作;b）應(yīng)山系統(tǒng)建設(shè)方完成對(duì)委托建設(shè)方的運(yùn)維技術(shù)人員的培訓(xùn)；c）應(yīng)由系統(tǒng)建設(shè)方提交系統(tǒng)建設(shè)過(guò)程中的文檔和指導(dǎo)用戶進(jìn)行系統(tǒng)運(yùn)行維護(hù)的文檔。2.4.8.2測(cè)試方法訪談,檢查。2.4.8.3測(cè)試對(duì)象系統(tǒng)建設(shè)負(fù)責(zé)人,系統(tǒng)交付清單。2.4.8.4測(cè)評(píng)實(shí)施a）應(yīng)訪談系統(tǒng)建設(shè)負(fù)責(zé)人,詢問(wèn)交接手續(xù)是什么,系統(tǒng)交接工作是否按照該手續(xù)辦理,是否根據(jù)交付清單對(duì)所交接的設(shè)備、文檔、軟件等進(jìn)行清點(diǎn),交付清單是否滿足合同的有關(guān)要求;b）應(yīng)訪談系統(tǒng)建設(shè)負(fù)責(zé)人,詢問(wèn)目前的信息系統(tǒng)是否由內(nèi)部人員獨(dú)立運(yùn)行維護(hù),如果是，系統(tǒng)建設(shè)方是否對(duì)運(yùn)維技術(shù)人員進(jìn)行過(guò)培訓(xùn)，針對(duì)哪些方面進(jìn)行過(guò)培訓(xùn)，系統(tǒng)是否具有支持其獨(dú)立運(yùn)行維護(hù)的文檔;C）應(yīng)檢査系統(tǒng)交付清單,査看其是否具有系統(tǒng)建設(shè)文檔（如系統(tǒng)建設(shè)方案）、指導(dǎo)用戶進(jìn)行系統(tǒng)運(yùn)維的文檔（如服務(wù)器操作規(guī)程書）以及系統(tǒng)培訓(xùn)手冊(cè)等文檔名稱。2.4.8.5結(jié)果判定a）5.2.4.8.4a）-c）均為肯定,則信息系統(tǒng)符合本單元測(cè)評(píng)項(xiàng)要求。2.4.9安全服務(wù)商選擇2.4.9.1測(cè)評(píng)項(xiàng)a）應(yīng)確保安全服務(wù)商的選擇符合國(guó)家的有關(guān)規(guī)定。2.4.9.2測(cè)試方法訪談。2.4.9.3 測(cè)試對(duì)象系統(tǒng)建設(shè)負(fù)責(zé)人。2.4.9.4 測(cè)評(píng)實(shí)施a）應(yīng)訪談系統(tǒng)建設(shè)負(fù)責(zé)人,詢問(wèn)對(duì)信息系統(tǒng)進(jìn)行安全規(guī)劃、設(shè)計(jì)、實(shí)施、維護(hù)、測(cè)評(píng)等服務(wù)的安全服務(wù)單位是否符合國(guó)家有關(guān)規(guī)定。2.4.9.5結(jié)果判定a）5.2.4.9.4a）為肯定，則信息系統(tǒng)符合本單元測(cè)評(píng)項(xiàng)要求。2.5系統(tǒng)運(yùn)維管理2.5.1環(huán)境管理2.5.1.1測(cè)評(píng)項(xiàng)a）應(yīng)對(duì)機(jī)房供配電、空調(diào)、溫濕度控制等設(shè)施指定專人或?qū)ｉT的部門定期進(jìn)行維護(hù)管理;b）應(yīng)配備機(jī)房安全管理人員，對(duì)機(jī)房的出入、服務(wù)器的開機(jī)或關(guān)機(jī)等工作進(jìn)行管理;c）應(yīng)建立機(jī)房安全管理制度，對(duì)有關(guān)機(jī)房物理訪問(wèn)，物品帶進(jìn)、帶出機(jī)房和機(jī)房環(huán)境安全等方面的管理作出規(guī)定。1.2測(cè)評(píng)方式訪談,檢查。1.3 測(cè)評(píng)對(duì)象物理安全負(fù)責(zé)人,機(jī)房安全管理制度。1.4 測(cè)評(píng)實(shí)施a）應(yīng)訪談物理安全負(fù)責(zé)人,詢問(wèn)是否指定專人或部門負(fù)責(zé)機(jī)房基本設(shè)施（如空調(diào)、供配電設(shè)備等）的定期維護(hù)管理，由何部門/何人負(fù)責(zé)，維護(hù)周期多長(zhǎng)；b）應(yīng)訪談物理安全負(fù)責(zé)人,詢問(wèn)是否指定人員負(fù)責(zé)機(jī)房安全管理工作，對(duì)機(jī)房的出入管理是否要求制度化；c）應(yīng)檢查機(jī)房安全管理制度,查看其內(nèi)容是否覆蓋機(jī)房物理訪問(wèn)、物品帶進(jìn)、帶出機(jī)房和機(jī)房環(huán)境安全等方面。5,1.5結(jié)果判定a）5.2.5.1.4a）-c）均為肯定,則信息系統(tǒng)符合本單元測(cè)評(píng)項(xiàng)要求。5.2.5.2資產(chǎn)管理5.2.5.2.1測(cè)評(píng)項(xiàng)a）應(yīng)建立資產(chǎn)安全管理制度，規(guī)定信息系統(tǒng)資產(chǎn)管理的責(zé)任人員或責(zé)任部門；b）應(yīng)編制并保存與信息系統(tǒng)相關(guān)的資產(chǎn)、資產(chǎn)所屬關(guān)系、安全級(jí)別和所處位置等信息的資產(chǎn)清單。5.2.5.2.2測(cè)評(píng)方式訪談,檢査。5.2.5.2.3測(cè)評(píng)對(duì)象安全主管,物理安全負(fù)責(zé)人,資產(chǎn)清單,資產(chǎn)安全管理制度。5.2.5.2.4測(cè)評(píng)實(shí)施a）應(yīng)訪談安全主管，詢問(wèn)是否指定資產(chǎn)管理的責(zé)任人員或部門，由何部門/何人負(fù)責(zé);b）應(yīng)訪談物理安全負(fù)責(zé)人，詢問(wèn)是否對(duì)資產(chǎn)管理要求文檔化;c）應(yīng)檢查資產(chǎn)安全管理制度,査看是否明確資產(chǎn)管理的責(zé)任部門、責(zé)任人等方面要求;d）應(yīng)檢查資產(chǎn)清單，查看其內(nèi)容是否覆蓋資產(chǎn)責(zé)任人、所屬級(jí)別、所處位置和所屬部門等方面。5.2.5.2.5結(jié)果判定a）5.2.5.2.4a）-d）均為肯定，則信息系統(tǒng)符合本單元測(cè)評(píng)項(xiàng)要求。5.2.5.3 介質(zhì)管理5.2.5.3.1測(cè)評(píng)項(xiàng)a）應(yīng)確保介質(zhì)存放在安全的環(huán)境中，并對(duì)各類介質(zhì)進(jìn)行控制和保護(hù)，以防止被盜、被毀、被未授權(quán)修改以及信息的非法泄漏；b）應(yīng)有介質(zhì)的存儲(chǔ)、歸檔、登記和查詢記錄，并根據(jù)備份及存檔介質(zhì)的目錄清單定期盤點(diǎn)。5.2.5.3.2測(cè)評(píng)方式訪談，檢查。5.2.5.3.3測(cè)評(píng)對(duì)象資產(chǎn)管理員,介質(zhì)管理記錄。5.2.5.3.4測(cè)評(píng)實(shí)施a）應(yīng)訪談資產(chǎn)管理員，詢問(wèn)介質(zhì)的存放環(huán)境是否有保護(hù)措施,防止其被盜、被毀、被未授權(quán)修改以及信息的非法泄漏；b）應(yīng)訪談資產(chǎn)管理員，詢問(wèn)是否對(duì)介質(zhì)的使用管理要求文檔化，是否根據(jù)介質(zhì)的目錄清單對(duì)介質(zhì)的使用現(xiàn)狀進(jìn)行定期檢查；c）應(yīng)檢查介質(zhì)管理記錄，查看其是否記錄介質(zhì)的存儲(chǔ)、歸檔、借用等情況。5.2.5,3.5結(jié)果判定a）如果5.2.5.3.4a）中在防火、防水、防盜等方面均有措施,則該項(xiàng)為肯定;b）5.2.5.3.4a）-c）均為肯定，則信息系統(tǒng)符合本單元測(cè)評(píng)項(xiàng)要求。5.2.5.4 設(shè)備管理5.2.5.4.1 測(cè)評(píng)項(xiàng)a）應(yīng)對(duì)信息系統(tǒng)相關(guān)的各種設(shè)施、設(shè)備、線路等指定專人或?qū)ｉT的部門定期進(jìn)行維護(hù)管理；b）應(yīng)對(duì)信息系統(tǒng)的各種軟硬件設(shè)備的選型、采購(gòu)、發(fā)放或領(lǐng)用等過(guò)程的申報(bào)、審批和專人負(fù)責(zé)作出規(guī)定；c）應(yīng)按操作規(guī)程實(shí)現(xiàn)服務(wù)器的啟動(dòng)/停止、加電/斷電等操作,并根據(jù)業(yè)務(wù)系統(tǒng)的要求維護(hù)好系統(tǒng)配置和服務(wù)設(shè)定；d）應(yīng)對(duì)終端計(jì)算機(jī)、工作站、便攜機(jī)、系統(tǒng)和網(wǎng)絡(luò)等設(shè)備的操作和使用過(guò)程進(jìn)行規(guī)范化管理。5.2.5.4.2測(cè)評(píng)方式訪談,檢查。5.2.5.4.3測(cè)評(píng)對(duì)象資產(chǎn)管理員,設(shè)備審批管理文檔,設(shè)備使用管理文檔,服務(wù)器操作規(guī)程。5.2.5.4.4測(cè)評(píng)實(shí)施a）應(yīng)訪談資產(chǎn)管理員,詢問(wèn)是否對(duì)各類設(shè)施、設(shè)備指定專人或?qū)ｉT部門進(jìn)行定期維護(hù),由何部門/何人維護(hù),維護(hù)周期多長(zhǎng);b）應(yīng)訪談資產(chǎn)管理員,詢問(wèn)是否對(duì)設(shè)備選用的各個(gè)環(huán)節(jié)（選型、采購(gòu)和發(fā)放等）進(jìn)行審批控制,設(shè)備的操作和使用是否要求規(guī)范化管理;c）應(yīng)檢查設(shè)備使用管理文檔,查看其內(nèi)容是否對(duì)終端計(jì)算機(jī)、便攜機(jī)、網(wǎng)絡(luò)設(shè)備等使用、操作原則、注意事項(xiàng)等方面作出規(guī)定;d）應(yīng)檢查設(shè)備審批、發(fā)放管理文檔,查看其內(nèi)容是否對(duì)設(shè)備選型、采購(gòu)和發(fā)放等環(huán)節(jié)的申報(bào)和審批作出規(guī)定;e）應(yīng)檢查服務(wù)器操作規(guī)程,査看其內(nèi)容是否覆蓋服務(wù)器如何啟動(dòng)、停止、加電和斷電等操作。5.2.5.4.5結(jié)果判定a）5.2.5.4.4a）-e）均為肯定，則信息系統(tǒng)符合本單元測(cè)評(píng)項(xiàng)要求。2.5.5 監(jiān)控管理2.5.5.1測(cè)評(píng)項(xiàng)a）應(yīng)了解服務(wù)器的CPU、內(nèi)存、進(jìn)程、磁盤使用情況。2.5.5.2測(cè)評(píng)方式訪談。2.5.5.3測(cè)評(píng)對(duì)象安全主管，系統(tǒng)運(yùn)維負(fù)責(zé)人。2.5.5.4測(cè)評(píng)實(shí)施a）應(yīng)訪談系統(tǒng)運(yùn)維負(fù)責(zé)人，詢問(wèn)是否經(jīng)常查看主要服務(wù)器的各項(xiàng)資源指標(biāo)，如CPU、內(nèi)存、進(jìn)程和磁盤等使用情況。2.5.5.5結(jié)果判定a）5.2.5.5.4a）為肯定,則信息系統(tǒng)符合本單元測(cè)評(píng)項(xiàng)要求。2.5.6網(wǎng)絡(luò)安全管理2.5.6.1測(cè)評(píng)項(xiàng)a）應(yīng)指定專人對(duì)網(wǎng)絡(luò)進(jìn)行管理，負(fù)責(zé)運(yùn)行日志、網(wǎng)絡(luò)監(jiān)控記錄的日常維護(hù)和報(bào)警信息分析和處理工作;b）應(yīng)根據(jù)丿家提供的軟件升級(jí)版本對(duì)網(wǎng)絡(luò)設(shè)備進(jìn)行更新，并在更新前對(duì)現(xiàn)有的重要文件進(jìn)行備份；c）應(yīng)進(jìn)行網(wǎng)絡(luò)系統(tǒng)漏洞掃描，對(duì)發(fā)現(xiàn)的網(wǎng)絡(luò)系統(tǒng)安全漏洞進(jìn)行及時(shí)的修補(bǔ)。2.5.6.2測(cè)試方法訪談,檢查。2.5.6.3測(cè)試對(duì)象安全主管，網(wǎng)絡(luò)管理員，網(wǎng)絡(luò)漏洞掃描報(bào)告。2.5.6.4測(cè)評(píng)實(shí)施a）應(yīng)訪談安全主管,詢問(wèn)是否指定專人負(fù)責(zé)維護(hù)網(wǎng)絡(luò)運(yùn)行日志、監(jiān)控記錄和分析處理報(bào)警信息等網(wǎng)絡(luò)安全管理工作；b）應(yīng)訪談網(wǎng)絡(luò)管理員,詢問(wèn)是否根據(jù)廠家提供的軟件升級(jí)版本對(duì)網(wǎng)絡(luò)設(shè)備進(jìn)行過(guò)升級(jí),日前的版本號(hào)為多少,升級(jí)前是否對(duì)重要文件（帳戶數(shù)據(jù)、配置數(shù)據(jù)等）進(jìn)行備份；是否對(duì)網(wǎng)絡(luò)設(shè)備進(jìn)行過(guò)漏洞掃描，對(duì)掃描出的漏洞是否及時(shí)修補(bǔ);c）應(yīng)檢查網(wǎng)絡(luò)漏洞掃描報(bào)告,查看其內(nèi)容是覆蓋網(wǎng)絡(luò)存在的漏洞、漏洞級(jí)別、原因分析和改進(jìn)意見等方面。2.5.6.5結(jié)果判定a）5.2.5.6.4a）-c）均為肯定,則信息系統(tǒng)符合本單元測(cè)評(píng)項(xiàng)要求。2.5.7 系統(tǒng)安全管理2.5.7.1測(cè)評(píng)項(xiàng)a）應(yīng)指定專人對(duì)系統(tǒng)進(jìn)行管理，刪除或者禁用不使用的系統(tǒng)缺省賬戶;b）應(yīng)定期安裝系統(tǒng)的最新補(bǔ)丁程序，并根據(jù)廠家提供的可能危害計(jì)算機(jī)的漏洞進(jìn)行及時(shí)修補(bǔ)，并在安裝系統(tǒng)補(bǔ)丁前對(duì)現(xiàn)有的重要文件進(jìn)行備份;c）應(yīng)根據(jù)業(yè)務(wù)需求和系統(tǒng)安全分析確定系統(tǒng)的訪問(wèn)控制策略,系統(tǒng)訪問(wèn)控制策略用于控制分配信息系統(tǒng)、文件及服務(wù)的訪問(wèn)權(quán)限。2.5.7.2測(cè)試方法訪談。2.5.7.3測(cè)試對(duì)象安全主管，安全員，系統(tǒng)管理員。2.5.7.4 測(cè)評(píng)實(shí)施a）應(yīng)訪談安全主管，詢問(wèn)是否指定專人負(fù)責(zé)系統(tǒng)安全管理;b）應(yīng)訪談系統(tǒng)管理員，詢問(wèn)是否定期對(duì)系統(tǒng)安裝安全補(bǔ)丁程序和進(jìn)行漏洞修補(bǔ)，在安裝系統(tǒng)補(bǔ)丁前是否對(duì)重要文件（系統(tǒng)配置、系統(tǒng)用戶數(shù)據(jù)等）進(jìn)行備份；對(duì)不常用的系統(tǒng)缺省用戶是否采取了一定的處理手段阻止其繼續(xù)使用（如刪除或禁用）；c）應(yīng)訪談安全員，詢問(wèn)是否制定系統(tǒng)訪問(wèn)控制策略。2.5.7.5結(jié)果判定a）5.2.5.7.4a）-c）均為肯定，則信息系統(tǒng)符合本單元測(cè)評(píng)項(xiàng)要求。2.5.8 惡意代碼防范管理2.5.8.1測(cè)評(píng)項(xiàng)a）應(yīng)提高所有用戶的防病毒意識(shí)，告知及時(shí)升級(jí)防病毒軟件;b）應(yīng)在讀取移動(dòng)存儲(chǔ)設(shè)備（如軟盤、移動(dòng)硬盤、光盤）上的數(shù)據(jù)以及網(wǎng)絡(luò)上接收文件或郵件之前,先進(jìn)行病毒檢查，對(duì)外來(lái)計(jì)算機(jī)或存儲(chǔ)設(shè)備接入網(wǎng)絡(luò)系統(tǒng)之前也要進(jìn)行病毒檢查。2.5.8.2測(cè)試方法訪談。2.5.8.3測(cè)試對(duì)象系統(tǒng)運(yùn)維負(fù)責(zé)人。2.5.8.4 測(cè)評(píng)實(shí)施a）應(yīng)訪談系統(tǒng)運(yùn)維